Maximilian Schrems (nacido en 1987) es un activista, abogado y autor austríaco que se hizo conocido por sus campañas contra Facebook por sus violaciones a la privacidad, incluidas las violaciones de las leyes de privacidad europeas y la supuesta transferencia de datos personales a la Agencia de Seguridad Nacional de Estados Unidos (NSA) como parte del programa PRISM de la NSA. Schrems es el fundador de NOYB (Centro Europeo de Derechos Digitales ).
Mientras estudiaba derecho durante un semestre en el extranjero en la Universidad de Santa Clara en Silicon Valley , Schrems decidió escribir su trabajo final sobre la falta de conocimiento de Facebook sobre la ley de privacidad europea, después de sorprenderse por lo que el abogado de privacidad de la compañía, Ed Palmieri, dijo a su clase sobre el tema. [1] Más tarde, presentó una solicitud bajo el derecho europeo de acceso a la provisión de datos personales para los registros de la compañía sobre él y recibió un CD que contenía más de 1200 páginas de datos, que publicó en europe-v-facebook.org con la información personal redactada. Presentó una primera ronda de quejas contra la compañía ante el Comisionado de Protección de Datos irlandés (DPC) en 2011. En febrero de 2012, Richard Allan y otro ejecutivo de la compañía volaron a Viena para debatir estas quejas con él que duraron seis horas. [1] Facebook fue auditado bajo la ley europea y tuvo que eliminar algunos archivos y desactivar su software de reconocimiento facial . [2] En 2014, Schrems retiró las quejas, alegando que nunca recibió un procedimiento justo ante el Comisionado de Protección de Datos irlandés. Nunca recibió una decisión formal de la DPC y se le negó el acceso a todas las presentaciones de Facebook y a los archivos del caso. En europe-v-facebook.org , comentó sobre retirar sus quejas:
En 2013, Schrems presentó una denuncia contra Facebook Ireland Ltd ante el Comisionado de Protección de Datos de Irlanda, siendo Irlanda el país donde Facebook tiene su sede europea. [4] La denuncia tenía como objetivo prohibir a Facebook seguir transfiriendo datos de Irlanda a los Estados Unidos, dada la presunta participación de Facebook USA en el programa de vigilancia masiva PRISM . Schrems basó su denuncia en la ley de protección de datos de la UE, que no permite transferencias de datos a países no pertenecientes a la UE a menos que una empresa pueda garantizar una "protección adecuada". El DPC rechazó la denuncia, diciendo que era "frívola y vejatoria" y que no había caso para responder. [5] Schrems presentó una solicitud de revisión judicial en el Tribunal Superior de Irlanda por la inacción del DPC irlandés, que fue concedida. [4] El 18 de junio de 2014, el juez Hogan aplazó el caso en espera de una referencia al Tribunal de Justicia de la Unión Europea (TJUE). Dijo que la legislación irlandesa relativa a la privacidad había sido efectivamente reemplazada por la legislación europea y que la cuestión central era si las directivas pertinentes debían ser reevaluadas a la luz de la posterior entrada en vigor del Artículo 8 (protección de datos personales) de la Carta de los Derechos Fundamentales de la Unión Europea . [6] [7] [8]
La Comisión Europea determinó en la decisión ejecutiva 2000/520/CE que los llamados Principios de Puerto Seguro UE-EE. UU. proporcionarían una "protección adecuada" en virtud del artículo 25 de la Directiva 95/46/CE ( Directiva de Protección de Datos ), en lo que respecta a la transferencia de información personal de la UE a los EE. UU. Esta decisión ejecutiva de la Comisión Europea fue puesta en tela de juicio por las revelaciones de Edward Snowden en 2013. En esencia, Schrems argumentó por tanto que el sistema de Puerto Seguro violaría su derecho fundamental a la privacidad , a la protección de datos y el derecho a un juicio justo en virtud de la Carta de los Derechos Fundamentales de la Unión Europea . [9] [10] [11]
La audiencia oral ante el TJUE se celebró el 24 de marzo de 2015. [12] [13] El abogado general del tribunal para el caso fue Yves Bot . [a] Durante la audiencia, Bot preguntó al abogado de la Comisión Europea, Bernhard Schima, qué consejo podría darle si le preocupaba que sus datos estuvieran a disposición de las autoridades estadounidenses. Schima respondió que podría considerar cerrar su cuenta de Facebook, si tuviera una. [14] Dijo que la Comisión Europea no podía garantizar que se cumplieran las salvaguardas "adecuadas" para la protección de datos, una observación que, según Schrems, fue lo más sorprendente que escuchó en la audiencia. [15] [16]
Bot emitió su dictamen el 23 de septiembre de 2015. Sostuvo que el acuerdo Safe Harbor no era válido y que las autoridades de protección de datos individuales podían suspender las transferencias de datos a terceros países si violaban los derechos de la UE. [17] [18] [19] [20]
El 6 de octubre de 2015, el Tribunal de Justicia de la Unión Europea dictaminó que (1) las autoridades nacionales de supervisión aún tienen la facultad de examinar las transferencias de datos entre la UE y los EE. UU. a pesar de que ya existe una decisión de la Comisión (como su Decisión de Puerto Seguro de 2000, que determinó que las empresas estadounidenses que cumplieran con los principios podían transferir datos de la UE a los EE. UU.) y que (2) el marco de Puerto Seguro no es válido. [21] El Tribunal determinó que el marco no es válido por varias razones: el sistema permite la interferencia gubernamental en las protecciones, no ofrece recursos legales a las personas que intentan acceder a los datos relacionados con ellas o que estos sean borrados o modificados, e impide que las autoridades nacionales de supervisión ejerzan sus poderes. Según la legislación de la UE, está prohibido compartir datos con países que se considera que tienen estándares de privacidad más bajos, incluido los EE. UU. Estas actividades solo serán posibles a través de métodos más costosos y que requieren más tiempo. [22]
El 2 de diciembre de 2015, Schrems volvió a presentar su denuncia original contra Facebook ante el Comisionado de Protección de Datos de Irlanda. También envió denuncias similares a las autoridades de protección de datos de Hamburgo y Bélgica, que ambas reclaman jurisdicción sobre Facebook. Las denuncias están diseñadas para hacer cumplir la sentencia del TJUE en Facebook, que actualmente no se basa en Safe Harbor para sus transferencias de datos. En cambio, Facebook se basa en acuerdos contractuales aprobados previamente llamados "cláusulas modelo". Schrems argumenta que estos acuerdos también incorporan excepciones para casos de vigilancia masiva ilegal y, por lo tanto, que la sentencia del TJUE también se aplica a estos acuerdos. [23] [24] El Comisionado de Protección de Datos de Irlanda consideró que Schrems había planteado objeciones "bien fundadas", [25] pero que necesita más orientación del TJUE para resolver la denuncia.
Tras los procedimientos de febrero/marzo de 2017, [26] la jueza Costello del Tribunal Superior de Irlanda emitió el resumen ejecutivo el 3 de octubre de 2017, remitiendo el caso al TJUE. [27]
"Ni la introducción del mecanismo del Defensor del Pueblo del Escudo de Privacidad ni las disposiciones del artículo 4 de las decisiones de la SCC eliminan las fundadas preocupaciones planteadas por la DPC en relación con la adecuación de la protección brindada a los interesados de la UE cuyos datos personales son interferidos indebidamente por los servicios de inteligencia de los Estados Unidos una vez que sus datos personales han sido transferidos para su procesamiento a los Estados Unidos".
— La jueza Costello
El 1 de agosto de 2014, Schrems presentó una demanda contra Facebook en los tribunales vieneses locales. Permitió que otros usuarios de Facebook se unieran a su caso, lo que generó una demanda de estilo "acción colectiva", apodada por la prensa como una demanda de David y Goliat , que se estima que probablemente sea la mayor demanda colectiva por privacidad jamás presentada en Europa. Cualquier usuario de Facebook pudo ceder su reclamación a Schrems a través de la página web fbclaim.com . En seis días, la participación en la demanda se limitó a 25.000 usuarios de Facebook, debido a demasiados registros, aunque otros usuarios aún podían registrar un interés. [28] Schrems demandó a la filial irlandesa de Facebook en los tribunales de Viena por una "cantidad simbólica" de 500 € en daños y perjuicios por participante. [29] El caso fue financiado por el financiador de litigios alemán ROLAND ProzessFinanz . [30] Según los términos de fbclaim.com, todo el dinero otorgado se enviaría a los participantes individuales. Schrems no recibe ningún beneficio económico de la demanda colectiva, sino que actúa de forma pro bono . [31]
La primera vista se celebró el 9 de abril de 2015. [32] El 1 de julio de 2015, el Tribunal de Distrito de Viena desestimó la demanda colectiva, alegando que no tenía jurisdicción. La decisión del Tribunal dependía de si Schrems era un simple consumidor de Facebook, ya que era sobre esa base que Schrems podía presentar una demanda en un tribunal civil austriaco en su lugar de residencia. Facebook acusó a Schrems de tener un interés comercial en sus numerosas acciones legales contra Facebook. La jueza Margot Slunsky-Jost dijo que Schrems podría beneficiarse del enorme interés de los medios de comunicación en su futura carrera. El Tribunal dictaminó por motivos procesales que, en consecuencia, Schrems no podía ser considerado un consumidor y no podía presentar una demanda en su tribunal de origen en Viena.
En octubre de 2015, el Tribunal Superior Regional de Viena revocó la sentencia del tribunal regional, al considerar que Schrems es un consumidor y que no actúa en interés comercial. El Tribunal Superior Regional dictaminó que Schrems puede presentar sus propias demandas contra Facebook Ireland en Viena, que constituían 20 de las 22 demandas de la demanda, pero no puede formar una demanda colectiva por razones de procedimiento. Esto limitó a Schrems a presentar únicamente un "caso modelo". [33] El Oberlandesgericht admitió una apelación ante el Tribunal Supremo de Austria en la cuestión clave de formar una demanda colectiva según la legislación de la UE y de Austria. [34] Schrems presentó la apelación el 2 de noviembre de 2015. Schrems ganó la batalla, en el sentido de que el Tribunal Superior Regional de Viena confirmó la sentencia del Tribunal Regional de Asuntos de Derecho Civil y Schrems recibió la sentencia simbólica de 500 euros de Facebook, pero la guerra continúa, ya que, en palabras de Schrems, los tribunales regionales "realmente no han abordado muchos de los problemas que plantea este caso". En concreto, si bien concluyeron que Facebook había violado la DPD en este caso, no se opusieron a la afirmación de Facebook de que podía utilizar un contrato de adhesión para definir los límites de sus obligaciones de tratamiento de datos en virtud de la DPD. En diciembre de 2020, Schrems remitió el asunto al Tribunal Supremo de Austria y espera llevarlo al Tribunal de Justicia de la Unión Europea para que dicte una sentencia definitiva. [35]
Poco después de su entrada en vigor, el 25 de mayo de 2018, Schrems presentó una demanda en virtud del recién promulgado Reglamento General de Protección de Datos (RGPD) en Irlanda contra Google y Facebook por obligar a sus usuarios a aceptar sus políticas de recopilación de datos. Se presentaron tres denuncias por un total de más de 3.900 millones de euros. [36]
El 18 de enero de 2019, Schrems presentó más quejas en virtud del RGPD contra Amazon, Apple Music, DAZN, Filmmit, Netflix, SoundCloud, Spotify y YouTube. [37] [38] Su organización sin fines de lucro, noyb.eu , alegó que no respondieron, no incluyeron suficiente información de fondo o proporcionaron datos brutos insuficientes o ininteligibles. [39] noyb predijo una multa total máxima de 18.800 millones de euros para las 8 empresas.
Al concluir el caso Schrems I , el Tribunal Superior de Irlanda remitió oficialmente el caso (ahora llamado Data Protection Commissioner v Facebook Ireland and Maximillian Schrems ) al TJUE, junto con once cuestiones para abordar relacionadas con la validez de las cláusulas contractuales estándar [40] (cláusulas contractuales estándar). [41] La sentencia se dictó el 16 de julio de 2020. [42]
"El TJUE dictaminó que el Escudo de Privacidad no proporciona una protección adecuada y anuló el acuerdo. El tribunal también dictaminó que las autoridades europeas de protección de datos deben detener las transferencias de datos personales realizadas en virtud de las cláusulas contractuales estándar por empresas, como Facebook, sujetas a una vigilancia excesiva. Esta decisión tiene implicaciones significativas para las empresas estadounidenses y para el Congreso de Estados Unidos porque pone en tela de juicio la idoneidad de la protección de la privacidad en Estados Unidos".
— Nota de prensa de epic.org [43]
"Se trata de otro fallo histórico en materia de derechos a la privacidad emitido por el Tribunal de Justicia y una clara señal de que Estados Unidos necesita reformar sus leyes de vigilancia o corre el riesgo de perder su posición como líder tecnológico mundial. El Congreso debería actuar rápidamente para adecuar la legislación estadounidense a las normas internacionales de derechos humanos".
— Alan Butler, Director Ejecutivo Interino y Asesor General de EPIC, en respuesta a la sentencia [44]
En septiembre de 2020, la Comisión de Protección de Datos de Irlanda envió a Facebook una orden preliminar para que dejara de transferir datos de ciudadanos de la UE a los EE. UU. Se le aplicará una multa del 4 % de los ingresos anuales si no se cumplen las condiciones. [45] El blog de Facebook publicó una carta de respuesta de Nick Clegg, vicepresidente de Asuntos Globales y Comunicaciones, el 9 de septiembre de 2020. [46] Clegg reconoció que las leyes sobre transferencia de datos están cambiando, pero que aún se necesita más claridad legal para todos los involucrados, y abogó por una revisión del Escudo de Privacidad. Además, la respuesta señaló la aparente contradicción entre el Escudo de Privacidad, que se aplica a las transferencias de datos entre la UE y los EE. UU. y que el tribunal invalidó, y las cláusulas contractuales estándar, que se aplican a países terceros de la UE y que el tribunal consideró aún válidas.
"La falta de transferencias internacionales de datos seguras, protegidas y legales dañaría la economía y obstaculizaría el crecimiento de las empresas basadas en datos en la UE, justo cuando buscamos una recuperación de la COVID-19. El impacto se sentiría en empresas grandes y pequeñas, en múltiples sectores. En el peor de los casos, esto podría significar que una pequeña empresa tecnológica emergente en Alemania ya no podría utilizar un proveedor de nube con sede en EE. UU. Una empresa española de desarrollo de productos ya no podría realizar operaciones en múltiples zonas horarias. Un minorista francés podría descubrir que ya no puede mantener un centro de llamadas en Marruecos".
[...]
"La UE ha sido pionera en el establecimiento de un marco de protección de datos que proteja y empodere a los usuarios. Las normas de privacidad seguirán evolucionando y las normas globales pueden garantizar el tratamiento uniforme de los datos dondequiera que se almacenen. Por tanto, Facebook acoge con satisfacción los esfuerzos que ya están en marcha entre los legisladores de la UE y los EE. UU. para evaluar el potencial de un marco "mejorado" entre la UE y los EE. UU.: un Escudo de Privacidad Plus. Estos esfuerzos deberán reconocer que los Estados miembros de la UE y los EE. UU. son democracias que comparten valores comunes y el Estado de derecho, están profundamente interconectados cultural, social y comercialmente y tienen poderes y prácticas de vigilancia de datos muy similares".
—Nick Clegg
En marzo de 2021 volvieron a surgir las posibles repercusiones sobre los servicios de inteligencia y vigilancia transatlánticos. Aduciendo la seguridad nacional y los derechos de los Estados miembros, se ha formado una nueva iniciativa en un intento de mantener a los servicios de inteligencia europeos fuera de la jurisdicción de los tribunales. Los gobiernos de los Estados miembros de la UE, encabezados por Francia, están tratando de insertar una exención de seguridad nacional en el Reglamento de privacidad electrónica pendiente que excluiría a terceros Estados como los EE. UU. [47]
En mayo de 2021, el Tribunal Superior de Irlanda rechazó los procedimientos de revisión judicial (iniciados por Facebook Ireland Limited) que buscaban detener un proyecto de decisión preliminar (PDD) de la DPC. [48] Facebook alegó una serie de quejas, incluidas fallas de procedimiento, una orientación injusta de Facebook frente a otros procesadores de datos y la falta de respuesta del tribunal a las preguntas de Facebook sobre los procedimientos. El juez David Barniville rechazó cada una de las presentaciones de Facebook y sostuvo que los procedimientos de la DPC eran legales; sin embargo, reconoció que las preguntas de Facebook sobre los procedimientos deberían haber sido respondidas.
En 2017, Schrems cofundó NOYB . NOYB tiene como objetivo lanzar casos judiciales estratégicos e iniciativas de medios en apoyo del Reglamento General de Protección de Datos (GDPR), el Reglamento de Privacidad Electrónica propuesto y la privacidad de la información en general. [49] [50] Después de 2017, muchos de los últimos casos judiciales en los que ha estado involucrado han sido presentados por NOYB en lugar de Schrems personalmente.
Schrems es autor de los siguientes libros en alemán: