La UE inicia el proceso para una decisión de adecuación con EEUU

La Comisión Europea ha anunciado el inicio del proceso hacia la adopción de una decisión de adecuación entre la Unión Europea (“UE”) y Estados Unidos (“EEUU”), para fomentar la seguridad de las transferencias transatlánticas de datos personales.

Tras la invalidación del Privacy Shield por el Tribunal de Justicia de la Unión Europea (“TJUE”), EEUU ha incorporado salvaguardas adicionales en su legislación que incrementan las obligaciones y garantías de las organizaciones estadounidenses en materia de privacidad y protección de datos. En este sentido y al contrario de lo que sucedía anteriormente, el proyecto de decisión de adecuación presentado por la Comisión Europea indica que EEUU ahora ofrece garantías comparables a las de la UE en materia de protección de datos.

En este sentido, una vez aprobada la decisión de adecuación, las empresas podrán realizar transferencias internacionales de datos personales a EEUU cuando las empresas con sede en EEUU se comprometan a cumplir con un conjunto detallado de obligaciones en materia de privacidad.

Entre otras obligaciones, las empresas deberán (i) suprimir los datos personales cuando ya no sean necesarios para los fines para los que se recogieron, y (ii) garantizar la continuidad de la protección cuando los datos personales se compartan con terceros. Adicionalmente, los ciudadanos de la UE deberán poder beneficiarse gratuitamente de varios mecanismos de recursos cuando consideren que sus datos personales no han sido tratados adecuadamente.

En relación con el acceso a los datos personales por parte de las agencias de inteligencia americanas, se han establecido una serie de limitaciones y salvaguardias:

• El acceso se limitará a lo necesario y proporcionado para proteger la seguridad nacional.

• Mayor supervisión de las actividades de los servicios de inteligencia estadounidenses para garantizar el cumplimiento de las limitaciones a las actividades de vigilancia.

• La creación de un mecanismo de recurso independiente e imparcial para investigar y resolver las reclamaciones relativas al acceso a sus datos por parte de las autoridades de seguridad nacional de EEUU.

Próximos pasos

El proyecto de decisión de adecuación se someterá ahora al procedimiento de adopción establecido para estos casos. Como primer paso, la Comisión Europea ha presentado su proyecto de decisión al Comité Europeo de Protección de Datos. Posteriormente, la Comisión Europea solicitará la aprobación del proyecto a un comité compuesto por representantes de los Estados miembros de la UE. Una vez concluido este procedimiento, la Comisión Europea podrá adoptar la decisión final de adecuación, que no se espera antes de la primavera de 2023.

Por su parte, NOYB, la ONG encabezada por Max Schrems -impulsor de las Sentencias Schrems I y Schrems II, que invalidaron los anteriores marcos que habilitaban la transferencia de datos personales entre la UE y EEUU-, insiste en que, aún con los cambios incorporados en su legislación, EE.UU. sigue realizando una vigilancia masiva y continua de datos personales, y que los mecanismos de defensa establecidos no garantizan una protección real de los derechos de los ciudadanos de la UE. Por lo tanto, NOYB abre la puerta a batallar ante el TJUE para lograr una eventual Sentencia Schrems III.