El Tribunal de Justicia de la Unión Europea (TJUE), ha invalidado en su sentencia de 16 de julio de 2020 la Decisión 2016/1250, que declaraba como nivel de protección adecuado el sistema de autocertificado denominado “Escudo de Privacidad” (Privacy Shield). Es momento, por tanto, para analizar la situación actual, las consecuencias y las posibles soluciones para las entidades que se vean afectadas por la misma.
Según el Reglamento General de Protección de Datos (RGPD), cualquier transmisión de datos que un responsable o un encargado del tratamiento realice a un territorio fuera del Espacio Económico Europeo, es decir, fuera de los países de la Unión Europea, Islandia, Liechtenstein y Noruega, será considerada como una transferencia internacional de datos y sólo puede llevarse a cabo si el país receptor garantiza un nivel de protección adecuado.
Hasta ahora, Estados Unidos, gozaba del sistema Privacy Shield, acordado mediante Decisión 2016/1250 de la Comisión Europea, que le permitía ser considerado un país con un nivel de protección adecuado (entidades certificadas en el marco del Escudo de Privacidad entre UE y EE.UU.).
Sin embargo, la reciente sentencia del TJUE, ha modificado sustancialmente el statu quo, anulando la citada Decisión 2016/1250, lo que supone invalidar la protección de la que gozaban todas las transferencias de datos realizadas al amparo del Privacy Shield, que actualmente se deben entender inadecuadamente realizadas.
Y es que, no es la primera vez que esto sucede, ya en 2015 se declaró la nulidad de la Decisión de la Comisión 2000/520, que autorizaba las transferencias internacionales para aquellas empresas estadounidenses que se pudieran adherir al sistema “Puerto Seguro” (Safe Harbor), al considerar que prevalecía incondicionalmente y sin limitación “la seguridad nacional, el interés público o el cumplimiento de la ley” sobre los derechos fundamentales a la intimidad y la protección de datos reconocidos en la UE.
Se puede afirmar que la consecuencia que tiene la sentencia de 16 de julio de 2020 del TJUE, es que la mayoría de las transferencias internacionales de datos realizadas entre la UE y EE. UU. son ilegales, por no contar con una decisión de adecuación.
Para no incurrir en supuestos de ilegalidad, las entidades afectadas por estas transferencias de datos deberán recurrir a alternativas que cuenten con garantías adecuadas, entre ellas, pueden citarse las siguientes:
- Un instrumento jurídicamente vinculante y exigible;
- Normas corporativas vinculantes;
- Cláusulas tipo de protección de datos adoptadas por la Comisión, que deben firmarse entre las partes;
- Cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión;
- Un código de conducta;
- Un mecanismo de certificación.
Las más destacadas, que ya se vienen utilizando en la actualidad, serían i) las normas corporativas vinculantes y ii) las cláusulas contractuales tipo adoptadas por la Comisión.
i) Las Normas Corporativas Vinculantes, se utilizan dentro de un grupo empresarial o una unión de empresas (“aquellos constituidos por una empresa que ejerce el control y sus empresas controladas”) dedicadas a una actividad económica conjunta. Son instrumentos, políticas o códigos de conducta, que tienen la finalidad de ofrecer garantías suficientes en las transferencias de datos a un tercer país sin nivel adecuado de protección y será necesario que hayan sido aprobadas por la autoridad de control competente, atendiendo al país en el que se encuentre el responsable o el encargado del tratamiento.
ii) Las Cláusulas Contractuales Tipo, como su nombre indica, son cláusulas establecidas previamente por la Comisión Europea, que al aplicarse determinan una «protección adecuada» respecto de una concreta transferencia internacional y deben ir apoyadas por medidas de seguridad, técnicas y organizativas, que deben aplicar los responsables y encargados del tratamiento establecidos en un tercer país que no ofrece la protección adecuada, con el fin de garantizar el nivel de seguridad apropiado para los riesgos que entraña el tratamiento y la naturaleza de los datos que han de protegerse.
Sin embargo, la sentencia comentada, aclara que, aún siendo válida la transferencia internacional de datos en base a las citadas cláusulas tipo, deberán ser las entidades las encargadas de evaluar (bajo su responsabilidad) si, para cada transferencia, las cláusulas tienen una eficacia real, proporcionando un nivel adecuado de protección.
Excepcionalmente y con carácter necesario -aspectos que deberán justificarse- se podrá realizar transferencia internacional de datos, si se cumple alguna de las condiciones siguientes:
-
- Que el interesado haya dado explícitamente su consentimiento a la transferencia propuesta;
- Que la transferencia internacional de datos sea necesaria para la preparación, ejecución o celebración de un contrato, por razones de interés público, para la reclamación o ejercicio de defensa, o para la protección de intereses vitales del interesado.
- La transferencia se realice desde un registro público que, con arreglo al Derecho de la Unión o de los Estados miembros, tenga por objeto facilitar información al público y esté abierto a la consulta del público en general.
En estos supuestos, el responsable debe prestar especial atención a la naturaleza de los datos personales, la finalidad y la duración del tratamiento, así como la situación en el país de origen, el tercer país y el país de destino final, debiendo siempre ofrecer garantías para proteger los derechos fundamentales y las libertades de los interesados.
Cuando la transferencia internacional de datos personales no esté amparada en una Decisión de adecuación, ni por las garantías adecuadas, ni pueda basarse en alguna de las excepciones enumeradas, solo se podrá llevar a cabo si no es repetitiva, afecta solo a un número limitado de interesados, es necesaria a los fines de intereses legítimos imperiosos perseguidos por el responsable sobre los que no prevalezcan los intereses o derechos y libertades del interesado, y el responsable haya evaluado todas las circunstancias que concurren en la transferencia, valorando los riesgos existentes y ofreciendo garantías respecto a la protección de datos personales. El responsable informará a la autoridad de control de la transferencia, así como al interesado, informando de los intereses legítimos que motivan la transferencia.
Para cualquier otro supuesto, se requerirá la autorización previa de la autoridad de control competente.
En definitiva, el RGPD proporciona varias alternativas para realizar las transferencias internacionales de datos dentro del marco de la legalidad, siendo los responsables y encargados del tratamiento los que deben seleccionar la opción más conveniente acorde a sus circunstancias.
Con la anulación del Privacy Shield, en cualquier transferencia internacional de datos entre la UE y EE. UU. deberán adquirir mayor protagonismo instrumentos menos utilizados como las Normas Corporativas Vinculantes o los novedosos Códigos de Conducta.
