El futuro (incierto) de las transferencias transatlánticas

El futuro de las transferencias internacionales de datos personales y, en concreto, de las transferencias internacionales que se realizan entre los Veintisiete y otras empresas con sede en Estados Unidos, constituye uno de los asuntos más sonados de los últimos días, meses (y años) en materia de privacidad en Europa. Aunque parece que el debate está llegando a su fin y que una nueva decisión de adecuación garantizará que Estados Unidos sí ofrece un nivel adecuado de protección de datos personales, todavía quedan algunos interrogantes por resolver.

Como hemos anticipado en anteriores entradas de este Blog, la Comisión Europea anunció a finales del pasado año el inicio del proceso hacia la adopción de una decisión de adecuación entre la Unión Europea (“UE”) y Estados Unidos (“EEUU”) para fomentar la seguridad de las transferencias transatlánticas de datos personales. Esta seguridad habría sido puesta en tela de juicio tras la invalidación del Privacy Shield por el Tribunal de Justicia de la Unión Europea (“TJUE”) en julio de 2020 a través de la decisión adoptada en el conocido caso “Shrems II”, en la cual concluyó, entre otros aspectos, que el Privacy Shield no proporcionaba suficientes recursos y salvaguardias contra la vigilancia masiva de datos personales de los nacionales no estadounidenses.

Habiendo publicado la Comisión Europea su propuesta de decisión de adecuación – la cual refleja el compromiso y las condiciones acordadas con EEUU – (el “Proyecto de Decisión”) y habiendo emitido el Comité Europeo de Protección de Datos su correspondiente dictamen el pasado 28 de febrero de 2023 (el “Dictamen del Comité”), únicamente quedaría pendiente la aprobación de los representantes de los países miembros de la Unión Europea y, finalmente, la adopción formal de la decisión por la Comisión. Según vaticinan los distintos medios, se espera que la aprobación de esta nueva decisión de adecuación se produzca este mismo verano.

El Proyecto de Decisión parece concluir que, a la luz (fundamentalmente) de la Orden Ejecutiva 14086 publicada por el presidente Biden en octubre de 2022 sobre el “Refuerzo de las salvaguardias para las actividades de inteligencia de señales de Estados Unidos” (la “Orden Ejecutiva”), el marco jurídico ofrece garantías comparables a las de la UE. Sin embargo, y a pesar de aplaudir la introducción de relevantes mejoras, el Dictamen del Comité alerta de algunas cuestiones que podrían poner en tela de juicio la aprobación final del Proyecto de Decisión o, cuando menos, su supervivencia.

Estas (entre otras) preocupaciones fueron asimismo reiteradas por el Parlamento Europeo en la resolución adoptada el pasado 11 de mayo de 2023 (la “Resolución del Parlamento”), a través de la cual insta a la Comisión a no adoptar el Proyecto de Decisión en su redacción original y a continuar con las negociaciones necesarias para lograr la creación de un mecanismo que garantice una equivalencia esencial y real en el nivel de protección otorgado. Aunque la Resolución del Parlamento no es vinculante, sin duda también será tenida en cuenta por la Comisión Europea a la hora de abordar el Proyecto de Decisión.

En síntesis, y sin perjuicio de los esfuerzos incluidos en la Orden Ejecutiva para establecer límites a las actividades de inteligencia de señales de Estados Unidos y garantizar la aplicación de los principios de proporcionalidad y necesidad en línea con la interpretación de los mismos en el marco jurídico europeo, tanto el Dictamen del Comité como la Resolución del Parlamento alertan de que tales avances no resultan suficientes y de que no logran ajustarse a la realidad jurídica europea. Reclaman, asimismo, que se garantice su efectiva implementación y monitorización. Por otra parte, consideran insuficientes las restricciones impuestas a la difusión de datos a y al acceso masivo a datos por las autoridades estadounidenses, y critican la incapacidad real de los ciudadanos para obtener una reparación judicial efectiva en la materia. En línea con lo señalado, denuncian una palmaria inequidad entre los privilegios y derechos de ciudadanos europeos y estadounidenses en las materias indicadas.

De igual manera, ponen el acento sobre la ausencia de definiciones y normas claras que regulen éstas y otras cuestiones (por ejemplo, la independencia judicial que la Orden Ejecutiva trata de asegurar, la toma de decisiones automatizadas -incluidas el perfilado-, o la aplicación de los principios marco que establece el Reglamento General de Protección de Datos) y de mecanismos e instrumentos de supervisión y revisión que garanticen la adaptación y supervivencia futura de cualquier decisión de adecuación (es decir, evitar un Schrems III), cuya materialización consideran esenciales. En la misma línea, el Dictamen del Comité incide en la necesidad de adoptar políticas y protocolos adecuados que garanticen el cumplimiento de lo acordado por parte de las agencias de inteligencia de los Estados Unidos. 

Sentado lo anterior, además, tanto el Comité como el Parlamento Europeo temen que, de adoptarse el Proyecto de Decisión en sus términos actuales, éste fuera nuevamente invalidado por el TJUE, socavando toda seguridad jurídica y aumentando costes y trastornos para autoridades, empresas y ciudadanos. Esta posibilidad ya había sido prevista por diversas voces críticas, como, por ejemplo, por Max Schrems, el activista austríaco que impulsó la invalidación de los anteriores acuerdos con Estados Unidos. En el mes de diciembre de 2022, éste había sentenciado en su plataforma “None of Your Business” que cualquier ulterior decisión de adecuación que se base en la orden ejecutiva estadounidense disponible y que introduzca cambios mínimos sobre las redacciones anteriores sería altamente susceptible de insatisfacer el TJUE.

Con este contexto, el Parlamento anima a la Comisión Europea a impulsar las negociaciones con sus homólogos americanos y le ruega que no adopte ninguna decisión de adecuación formal hasta que las preocupaciones y recomendaciones trasladadas tanto en la Resolución del Parlamento como en el Dictamen del Comité hayan sido debidamente abordadas. Es posible que los próximos días 30 y 31 de mayo se celebre en Suecia la próxima reunicón del Consejo de Comercio y Tecnología UE-EEUU (en inglés, el “EU-US Trade and Technology Council”) - organismo político destinado a la coordinación de la política tecnológica y comercial entre los Estados Unidos y la Unión Europea -, por lo que parece que podría ser el foro idóneo para que los Estados Unidos y la Unión Europea coordinen sus planteamientos y en la materia y avancen de manera fructífera hacia una decisión de adecuación que tenga en cuenta estas cuestiones.

En cualquier caso, habrá que esperar para conocer los avances que se produzcan en tales negociaciones y determinar si las enmiendas que se propongan lograrán solventar los problemas de fondo identificados, entre otros, por el Dictamen del Comité y la Resolución del Parlamento.