El pasado 12 de julio la Comisión Europea adoptó el nuevo marco de intercambio de datos personales con fines comerciales entre la Unión Europea y los Estados Unidos: el Escudo de la privacidad UE-EE.UU (Private Shield).

Este paso es consecuencia del acuerdo político alcanzado el pasado 2 de febrero de 2016 entre la Comisión Europea y el Gobierno de los Estados Unidos sobre un nuevo marco en esta materia y refleja los requisitos establecidos por el Tribunal de Justicia Europeo en su sentencia de 6 de octubre de 2015 (asunto C/362/14), que anuló la decisión de la Comisión Europea de considerar a Estados Unidos como "puerto seguro" a efectos de la cesión de datos personales de ciudadanos europeos.

La Comisión Europea y los Estados Unidos acordaron en particular introducir aclaraciones adicionales sobre la recopilación de datos en bloque, reforzar el mecanismo del Defensor del Pueblo e introducir obligaciones más explícitas para las empresas por lo que respecta a los límites de conservación y de transferencias ulteriores.

Principios rectores

El nuevo acuerdo Private Shield se basa en los siguientes principios:

1. Obligaciones rigurosas para las empresas que trabajan con datos

Al amparo del nuevo sistema, el Departamento de Comercio de los Estados Unidos llevará a cabo actualizaciones y revisiones periódicas de las empresas participantes, con el fin de garantizar que sigan las normas que ellas mismas han suscrito. Si las empresas no cumplen en la práctica, se enfrentan a sanciones y a ser retiradas de la lista.

El endurecimiento de las condiciones para las transferencias ulteriores de datos a terceros garantizará el mismo nivel de protección en caso de transferencia desde una empresa adherida al Escudo de la privacidad.

2.Obligaciones en materia de transparencia y salvaguardias claras para el acceso de la administración estadounidense

Los Estados Unidos han dado a la UE garantías de que el acceso de las autoridades públicas a efectos de aplicación de la ley y de seguridad nacional está sujeto a limitaciones, salvaguardias y mecanismos de supervisión claros. También por primera vez, cualquier persona en la UE tendrá a su disposición vías de recurso en la materia.

Igualmente los Estados Unidos han descartado una vigilancia masiva indiscriminada de los datos personales transferidos hacia ese país en el marco del acuerdo del Escudo de la privacidad UE-EE UU. Según la Oficina del Director de Inteligencia Nacional, la recopilación en bloque de datos solo podrá utilizarse en condiciones específicas predeterminadas y tiene que ser lo más concreta y precisa posible. El acuerdo detalla las salvaguardias existentes para la utilización de los datos en esas circunstancias excepcionales.

Además, los EEUU han establecido un mecanismo de recurso en el ámbito de la inteligencia nacional para los europeos a través de la figura del Defensor del Pueblo dentro del Departamento de Estado.

3. Protección eficaz de los derechos individuales

Cualquier ciudadano que considere que sus datos se han utilizado de forma indebida en el nuevo sistema del Escudo de la privacidad se beneficiarán de varios mecanismos de resolución de litigios accesibles y asequibles.

Lo ideal es que las reclamaciones las resuelva la propia empresa; o se ofrecerán gratuitamente mecanismos de resolución alternativa de litigios.

Los particulares también podrán dirigirse a sus autoridades nacionales de protección de datos, que colaborarán con la Comisión Federal de Comercio para garantizar que las reclamaciones de los ciudadanos de la UE se investiguen y resuelvan. Si un asunto no se resuelve por un medio u otro, estará previsto, en última instancia, un mecanismo de arbitraje.

El mecanismo de recurso en el ámbito de la seguridad nacional para los ciudadanos de la UE será gestionado por un Defensor del pueblo independiente de los servicios de inteligencia de los Estados Unidos.

4. Mecanismo de revisión conjunta anual

El mecanismo hará un seguimiento del funcionamiento del Escudo de la privacidad, incluidos los compromisos y garantías en lo que se refiere al acceso a los datos a efectos de aplicación de la ley o de seguridad nacional.

La Comisión Europea y el Departamento de Comercio de los Estados Unidos llevarán a cabo el examen y asociarán al mismo a expertos nacionales de inteligencia de los Estados Unidos y a las autoridades europeas de protección de datos.

La Comisión se basará en todas las demás fuentes de información disponibles y presentará un informe público al Parlamento Europeo y al Consejo.

El acuerdo no será impugnado ante los tribunales

La comisaria de Justicia, Vera Jourová, y la secretaria de Comercio estadounidense, Penny Pritzker, se han mostrado convencidas de que el nuevo acuerdo de transferencia de datos personales no será impugnado en los tribunales.

En alusión a la sentencia del TJUE de octubre de 2015, que consideró contrario al derecho de la Unión el arterior acuerdo "Safe Harbour", la secretario de comercio norteamericana ha señalado que "no estamos (preocupados). Hemos trabajado de forma estrecha con la Comisión Europea para garantizar que Privacy Shield puede resistir contestaciones ante los tribunales", ha explicado Pritzker, en rueda de prensa conjunta con la comisaria de Justicia, para anunciar la conclusión del acuerdo tras su adopción formal por el Ejecutivo comunitario este martes.

"Estoy convencida de que este nuevo sistema resistirá nuevas decisiones de los tribunales", ha agregado por su parte la comisaria de Justicia europea, que ha insistido en que se han diseñado las normas del nuevo acuerdo "en base a la sentencia judicial previa" de octubre. "Esto nos debe dar un elevado nivel de certidumbre de que tras esta nueva decisión judicial Private Shield continuará", ha dicho en referencia al caso irlandés.

Entrada en vigor del acuerdo

La «decisión de adecuación» fue notificada el mismo día 12 a los Estados miembros y, con ello, entrará en vigor inmediatamente.

Por parte de los Estados Unidos, el marco del Escudo de la privacidad se publicará en el Federal Register (Registro Federal), el equivalente al DOUE.

El Departamento de Comercio de los Estados Unidos comenzará a operar el Escudo de la privacidad. Una vez las empresas hayan tenido ocasión de revisar el marco y de actualizar su cumplimiento, podrán certificarse ante el Departamento de Comercio a partir del 1 de agosto. Al mismo tiempo, la Comisión publicará una breve guía para los ciudadanos en la que explica las vías de recurso disponibles en caso de que un particular considere que sus datos personales se han utilizado sin tener en cuenta las normas de protección de datos.