Tras el impacto provocado por la sentencia del Tribunal de Justicia de la Unión Europea del pasado 16 de julio (asunto C-311/18) que invalidó el Privacy Shield (Escudo de la Privacidad), que regía hasta ese momento entre la Unión Europea y Estados Unidos y  permitía a las empresas transferir datos de carácter personal de ciudadanos europeos a empresas EEUU, se siguen analizando los efectos y las potenciales soluciones a tomar. La misma sentencia declaró válida la Decisión 2010/87 de la Comisión, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países.

En este contexto, y para debatir sobre el alcance de la citada sentencia y buscar soluciones prácticas, se ha celebrado este jueves el “Foro APEP Jaque al Escudo de Privacidad EU – EEUU. Retos y soluciones prácticas”. El encuentro fue convocado por la Asociación Profesional Española de Privacidad y se contó con la presencia de Leonardo Cervera, Director del Supervisor Europeo de Protección de Datos; Christina Agor, Consejera Económica de la Embajada de los EEUU en España y Andorra; Julián Prieto, Subdirector general del Registro General de Protección de Datos de la Agencia Española de Protección de Datos; José Luis Piñar, Catedrático de Derecho Administrativo y Titular de la Cátedra Google sobre Privacidad de la Universidad CEU San Pablo; y María Vidal, Socia de finReg360.

Leonardo Cervera se refirió a que la normativa de protección de datos en EEUU no ha evolucionado y se encuentra un nivel inferior respecto a lo que ha ocurrido en la Unión Europea. Después de la sentencia del TJCE del año 2015, que invalidó la Decisión 2000/520/CE adoptada por la Comisión Europea y que supuso desactivar el llamado Acuerdo Safe Harbor o de Puerto Seguro, esta es la segunda vez que el Tribunal se pronuncia y establece que la normativa en materia de protección de datos en Estados Unidos no es compatible con la europea. Ocurre que en EEUU la normativa y los medios de los que disponen los servicios de inteligencia para acceder a los datos personales de los interesados, sobre todo después de lo sucedido con los atentados del 11 de septiembre de 2001, no permite que en ese país se garantice una protección equivalente a la que se da en la Unión Europea a través del Reglamento General de Protección de Datos que se aplica desde el año 2018. Por esa razón, se hace necesario un cambio de legislación en EEUU para adaptar la protección a la existente en Europa.

Leonardo cree que hay un antes y un después de la sentencia del TJCE sobre el escudo de privacidad y que ahora son las autoridades de protección de datos europeas las que tienen la obligación de intervenir en el caso de que se produzca una transferencia de datos personales a terceros países que no aseguren la misma protección que en Unión Europea. Según él, fue muy positivo que el TJCE declarara como válidas las cláusulas contractuales tipo, puntualizando, eso sí, que ahora son necesarias algunas medidas complementarias y es en lo que ya se está trabajando. Puede suceder que en la práctica, mientras no haya una solución definitiva, las empresas europeas mantengan sus datos en la Unión Europea y no los transfieran a EEUU hasta que haya seguridad jurídica.

Christina Agor, Consejera Económica de la Embajada de los EEUU en España y Andorra, se refirió al gran impacto y a los efectos negativos que ha tenido la sentencia del TJCE para las empresas de ese país, dando incluso cifras concretas de la cantidad de negocios que se mueven entre ambos territorios. Se muestran, por tanto, decepcionados con esta decisión porque han invertido mucho tiempo y dinero en su desarrollo y consolidación, pero desde este momento se encuentran comprometidos a hacer todo lo posible para llegar en conjunto a una solución satisfactoria.

Julián Prieto, como representante de la Agencia Española de Protección de Datos, se manifestó desde una posición institucional. Para él, el Reglamento General de Protección de Datos ofrece un nuevo enfoque de todas las operaciones de tratamiento de datos, ya que otorga nuevas obligaciones al exportador y al importador de datos para determinar si en el país destino existen las garantías de protección equivalentes a las de la Unión Europea, dándoles, además, la posibilidad de agregar garantías adicionales. Ahora, sin embargo, la clave de toda la discusión consiste en determinar cuáles son esas medidas adicionales, ya sean legales, técnicas u organizativas. Es el Comité europeo de protección de datos, quién está trabajando en ello.

José Luis Piñar, Catedrático y profesor en materia de privacidad, destacó que el Reglamento General de Protección de Datos constituye un nuevo modelo normativo que provoca que el análisis de la sentencia del TJCE sea diferente al que se hizo en su momento sobre la sentencia del año 2015. Mientras que desde EEUU prima la perspectiva de negocio en el enfoque que se da a la materia de protección de datos, desde la perspectiva europea se tiene que analizar en torno a lo que es el derecho fundamental.

Un punto importante de la sentencia del TJCE y de la normativa europea es que en materia de seguridad nacional se da primacía a lo que establezcan los estados miembros, pero este principio no se aplica a terceros países por lo que EEUU no puede utilizar esto como argumento propio para justificar sus políticas de seguridad nacional en relación al acceso a los datos. Por otro lado, José Luis estima como difícil una salida práctica y concreta a la sentencia del TJCE, ya que ni siquiera el Comité Europeo es capaz de decir cuáles son las medidas complementarias o adicionales de las que se habla y que ahora se estarían analizando, trasladando, además, a los responsables y a los encargados la valoración del régimen jurídico del país a los que se transfieren los datos. El TJCE en su sentencia fortalece la posición del Comité de Protección de datos y de las autoridades de protección de datos. Por último, otros efectos que provoca la sentencia del TJCE es que considera al Reglamento General de Protección de Datos como la norma universal en esta materia, refuerza el principio de responsabilidad proactiva que establece esta norma, y deja como única opción para resolver la actual situación que EEUU modifique su normativa interna.

Por último María Vidal, Socia de finReg360, destaca la importancia de las cláusulas contractuales tipo ya que se refieren a que el importador de datos debe avisar al exportador en caso de que la normativa propia no la proteja de forma equivalente en esta materia. Para ella, la solución no es fácil, y esto pasa por modificar la normativa interna de EEUU. También, cree que las garantías o medidas adicionales que se deben establecer pasan por el marco de control periódico que, a nivel técnico y organizativo, obliga el Reglamento General de Protección de Datos, debiendo incluir ahora en este ámbito un control legislativo de la normativa nacional y haciendo también más corto el período de control. Hasta que no haya una solución clara, estima que las empresas deben mantener los servidores que almacenan los datos en el territorio de la Unión Europea.

Por tanto, es ahora el turno del Comité Europeo de Protección de Datos para establecer de forma concreta cuales son las medidas adicionales que se pueden tomar para garantizar la seguridad en una transferencia de datos a un tercer país, y así acabar con la incertidumbre que se ha generado.