Nota informativa – Hacia un nuevo esquema de transferencias internacionales de datos a Estados Unidos
11 de octubre de 2022
El pasado 7 de octubre, el Presidente Biden firmó una Orden Ejecutiva sobre el «Refuerzo de las salvaguardias para las actividades de inteligencia de señales de Estados Unidos«. Junto con el Reglamento publicado por el Fiscal General, la Orden Ejecutiva incorpora a la legislación estadounidense el acuerdo anunciado en marzo junto a la Comisión Europea.
Tal y como detallamos en la nota informativa de pasado 28 de marzo, el 25 de marzo de 2022, la presidenta von der Leyen y el presidente Biden anunciaron que habían llegado a un acuerdo sobre un nuevo marco de privacidad de datos entre la Unión Europea (UE) y Estados Unidos (EEUU).
Las Executive Orders son documentos oficiales, numerados consecutivamente, a través de los cuales el Presidente de los Estados Unidos gestiona las operaciones del Gobierno Federal. Sin embargo, el decreto estadounidense no significa que las empresas y autoridades españolas ya puedan transferir datos personales a los EE. UU. sin una base legitimadora para la transferencia y el cumplimiento de los requisitos que se derivan de la decisión Schrems II.
La orden ejecutiva y su antecedente
El 16 de julio de 2020, el Tribunal de Justicia de la Unión Europea («TJUE») emitió su histórica decisión en el caso Schrems II, que invalidó el marco de transferencia de datos del Escudo de Privacidad, lo que originó la necesidad de acordar el nuevo marco. En su sentencia, el TJUE consideró que la decisión de adecuación de la Comisión Europea que legitimaba el Escudo de Privacidad no era válida porque no tenía suficientemente en cuenta la autoridad de las agencias de inteligencia estadounidenses para acceder a los datos personales de la UE en los EE.UU.
Teniendo en cuenta lo anterior, la orden ejecutiva establece que las actividades de recopilación de datos de los servicios de inteligencia de Estados Unidos sólo pueden tener lugar en función de objetivos de seguridad nacional bien definidos y deben llevarse a cabo de forma proporcionada, teniendo en cuenta la privacidad y las libertades civiles de las personas.
En ese sentido, se han añadido salvaguardias adicionales en el tratamiento de la información personal para ampliar la supervisión legal de los funcionarios encargados de velar por el cumplimiento de las normas, que serán los responsables de garantizar la aplicación de las medidas adecuadas para hacer frente a los incumplimientos.
Estas salvaguardias suponen cambios significativos en el funcionamiento de la comunidad de inteligencia estadounidense, cuyos organismos se ven obligados de acuerdo con lo contemplado en la orden a actualizar sus políticas y procesos en consonancia.
El sistema de salvaguardia a dos niveles
La nueva Orden Ejecutiva, junto con el Reglamento que la acompaña, establece un nuevo mecanismo de protección de dos niveles, con autoridad independiente designada al efecto con capacidad de tomar decisiones con efectos vinculantes:
En primer lugar, se creará un Oficial de Protección de las Libertades Civiles (CLPO, por sus siglas en inglés) en la Oficina del Director de Inteligencia Nacional, que se encargará de realizar las investigaciones iniciales para verificar las reclamaciones potenciales por incumplimiento de lo dispuesto en la orden. La decisión del CLPO será vinculante para las agencias de inteligencia.
En segundo lugar, el Fiscal General establecerá un Tribunal de Revisión de la Protección de Datos (Data Protection Review Court), dependiente de Departamento de Justicia, que proporcionará una revisión independiente y vinculante de las decisiones de la CLPO, incluso ordenando medidas adicionales de cumplimiento a la comunidad de inteligencia.
Los miembros de este tribunal serán contratados fuera de la administración estadounidense y se les garantizará independencia y protección contra la destitución salvo determinados motivos tasados como la enfermedad incapacitante. El tribunal también nombrará a un defensor especial que proporcionará asesoramiento jurídico en los casos abiertos. El organismo no forma parte de sistema judicial estadounidense en el sentido de lo contemplado en su constitución (art. 47).
Además, se prevé la creación de un Consejo de Supervisión de la Privacidad y las Libertades Civiles que revisará anualmente el proceso de recurso y evaluará el cumplimiento por parte de los servicios de inteligencia de las decisiones de la CLPO y del tribunal de protección de datos.
Siguientes pasos
La Comisión Europea tendrá que elaborar un proyecto de «decisión de adecuación» en virtud del artículo 45 del RGPD. Una vez emitido el proyecto de decisión, la Comisión debe recabar la opinión no vinculante del Consejo Europeo de Protección de Datos (EDPB). Además, un comité compuesto por representantes de los Estados miembros europeos debe validar el proyecto. El Parlamento Europeo dispone adicionalmente del derecho de escrutinio sobre el instrumento.
El Departamento de Comercio de los Estados Unidos ha indicado que actualizará los principios de privacidad a los que se adhieren las empresas en el marco del Escudo de Privacidad UE-EE.UU. y los renombrará como «Principios del Marco de Privacidad de Datos UE-EE.UU.», restableciendo un mecanismo de transferencia de datos “accesible y asequible para las empresas estadounidenses participantes”.
El proceso de aprobación de una nueva decisión de adecuación para la transferencia de datos personales a Estados Unidos puede durar hasta 6 meses, tomando como referencia los procesos similares previos, de modo que entre finales de 2022 e inicios de 2023 podríamos disponer del nuevo instrumento.
Primeras reacciones
Max Schrems, el defensor de la privacidad que inició las causas judiciales homónimas, cuestionó la orden ejecutiva argumentando que es poco probable que cambie la forma de operar de las agencias de inteligencia estadounidenses a través de la vigilancia masiva, ya que el principio de proporcionalidad no se concibe de la misma manera en Estados Unidos según afirma.
En segundo lugar, el abogado austriaco cuestiona el estatus del Tribunal de Revisión de la Protección de Datos como tribunal independiente, ya que será un organismo dependiente del poder ejecutivo del gobierno de EE.UU. y no está incluido en el sistema judicial estadounidense, por lo que carece de la calificación de vía de recurso judicial, tal y como pretende la Carta de Derechos Fundamentales de la UE en lo relativo a la protección de datos personales.
La Comisión Europea por su parte considera que el actual planteamiento de lo contemplado en la Orden Ejecutiva y el reglamento asociado cumple con las exigencias del TJUE. A la fecha de la publicación de esta nota, la Agencia Española de Protección de Datos no se ha pronunciado sobre el asunto.
Medidas a considerar hasta la aprobación de la decisión
Teniendo en cuenta lo anterior, las organizaciones que transfieren datos personales a los Estados Unidos deben considerar:
- Mantener actualizados los mecanismos de transferencia de datos y los análisis de riesgos asociados a estos tratamientos teniendo en cuenta los cambios producidos por la orden ejecutiva.
- Monitorizar cómo reaccionan y se posicionan las autoridades europeas de protección de datos de los países donde opere hasta que se adopte una decisión de adecuación. Adicionalmente, conviene mantener una vigilancia proactiva ante potenciales reclamaciones ante el Tribunal de Justicia de la Unión Europea que puedan afectar al nuevo mecanismo.
- Supervisar los cambios relativos a los nuevos «Principios del Marco de Privacidad de Datos UE-EEUU” por parte del Departamento de Comercio, así como la adopción por parte de la Comisión Europea de una decisión de adecuación en la materia.
- Elaborar o, en su caso, mantener un plan de contingencia que contemple, entre otros aspectos, alternativas al tratamiento de datos personales en Estados Unidos, tales como acuerdos de nivel de servicios (SLAs) que prevean el alojamiento de datos personales en servidores de la Unión Europea, de cara a mitigar riesgos hasta la plena implementación de la decisión de adecuación.
Área de Privacidad y Protección de Datos de ECIJA
Telf: + 34 91.781.61.60