El Escudo de privacidad UE-EE. UU. fue un marco legal para regular los intercambios transatlánticos de datos personales con fines comerciales entre la Unión Europea y los Estados Unidos . [1] Uno de sus propósitos era permitir que las empresas estadounidenses recibieran más fácilmente datos personales de entidades de la UE bajo las leyes de privacidad de la UE destinadas a proteger a los ciudadanos de la Unión Europea. [2] El Escudo de privacidad UE-EE. UU. entró en vigor el 12 de julio de 2016 tras su aprobación por la Comisión Europea . Se puso en marcha para reemplazar los Principios internacionales de privacidad de puerto seguro , que fueron declarados inválidos por el Tribunal de Justicia de la Unión Europea en octubre de 2015. [3] El TJUE declaró inválido el Escudo de privacidad UE-EE. UU. el 16 de julio de 2020, en el caso conocido como Schrems II . [4] En 2022, los líderes de EE. UU. y la UE anunciaron que se había acordado en principio un nuevo marco de transferencia de datos llamado Marco transatlántico de privacidad de datos , que reemplaza al Escudo de privacidad. [5] Sin embargo, no se sabe con certeza qué cambios serán necesarios o adecuados para que esto tenga éxito sin enfrentar desafíos legales adicionales.
En octubre de 2015, el Tribunal de Justicia de la Unión Europea declaró inválido el marco anterior, denominado Principios Internacionales de Puerto Seguro para la Privacidad, en una sentencia que más tarde se conocería como "Schrems I". [3] Poco después de esta decisión, la Comisión Europea y el Gobierno de los Estados Unidos iniciaron conversaciones sobre un nuevo marco y el 2 de febrero de 2016 llegaron a un acuerdo político. [1] La Comisión Europea publicó el borrador de la "decisión de adecuación", en el que se declaraba que los principios eran equivalentes a las protecciones ofrecidas por la legislación de la UE. [6]
El 13 de abril de 2016, el Grupo de Trabajo de Protección de Datos del Artículo 29 emitió un dictamen en el que afirmaba que el Escudo de Privacidad ofrece mejoras importantes en comparación con las decisiones de Safe Harbor, pero que todavía persisten tres puntos importantes de preocupación. Se relacionan con la eliminación de datos, la recopilación de cantidades masivas de datos y la aclaración del nuevo mecanismo del Defensor del Pueblo. [7] El Supervisor Europeo de Protección de Datos emitió un dictamen el 30 de mayo de 2016 en el que afirmaba que "el Escudo de Privacidad, en su forma actual, no es lo suficientemente sólido como para resistir un futuro escrutinio jurídico ante el Tribunal [Europeo]". [8]
El 8 de julio de 2016, los representantes de los Estados miembros de la UE (comité del artículo 31) aprobaron la versión final del Escudo de privacidad UE-EE. UU., allanando el camino para la adopción de la decisión por parte de la Comisión. [9] La Comisión Europea adoptó el marco el 12 de julio de 2016 y entró en vigor el mismo día. [10] [11]
El 25 de enero de 2017, el presidente de Estados Unidos, Donald Trump, firmó una orden ejecutiva titulada " Mejorar la seguridad pública " que establece que las protecciones de privacidad de Estados Unidos no se extenderán más allá de los ciudadanos o residentes estadounidenses:
Las agencias deberán, en la medida que sea compatible con la ley aplicable, garantizar que sus políticas de privacidad excluyan a las personas que no sean ciudadanos de los Estados Unidos o residentes permanentes legales de las protecciones de la Ley de Privacidad con respecto a la información de identificación personal . [12]
Esta orden ejecutiva fue derogada por el presidente Joe Biden el 20 de enero de 2021. [13]
La Comisión Europea ha declarado que:
La Ley de Privacidad de los Estados Unidos nunca ha ofrecido derechos de protección de datos a los ciudadanos europeos. La Comisión negoció dos instrumentos adicionales para garantizar que los datos de los ciudadanos de la UE estén debidamente protegidos cuando se transfieran a los Estados Unidos:
- El Escudo de Privacidad UE-EE. UU., que no se basa en las protecciones de la Ley de Privacidad de EE. UU.
- El acuerdo marco entre la UE y los EE.UU., que entra en vigor el 1 de febrero (2017). Para finalizar este acuerdo, el Congreso de los EE.UU. adoptó una nueva ley en 2017, la Ley de Reparación Judicial de los EE.UU. [14], que extiende los beneficios de la Ley de Privacidad de los EE.UU. a los europeos y les da acceso a los tribunales de los EE.UU. [15]
La Comisión afirmó que “continuará monitoreando la implementación de ambos instrumentos”. [15]
En general, la organización ha desarrollado siete principios fundamentales, que se exponen en los párrafos siguientes: [16]
El eurodiputado alemán Jan Philipp Albrecht y el activista austriaco Max Schrems criticaron la nueva sentencia, y este último predijo que la Comisión podría estar haciendo un "viaje de ida y vuelta a Luxemburgo " (donde se encuentra el Tribunal de Justicia de la Unión Europea (TJUE)). [17] [ aclaración necesaria ] Muchos europeos exigieron un mecanismo para que los ciudadanos europeos individuales presenten quejas sobre el uso de sus datos, así como un plan de transparencia para garantizar que los datos de los ciudadanos europeos no caigan en manos de las agencias de inteligencia estadounidenses. [18]
Los grupos de defensa de la privacidad han impugnado legalmente el Escudo de Privacidad. [19] [20] Inicialmente, no estaba claro si los casos se considerarían admisibles. [21] [22] Sin embargo, en febrero de 2017, el futuro del Escudo de Privacidad estaba en disputa. Un consultor, Matt Allison, predijo que "el modelo regulado e impulsado por los ciudadanos de la UE entrará rápidamente en conflicto con las fuerzas del mercado de los EE. UU. y el Reino Unido". [23] Allison resumió un nuevo documento en el que la Comisión Europea expone sus planes para las decisiones de adecuación y la estrategia global. [24]
En diciembre de 2019, el Tribunal de Justicia de la Unión Europea (TJUE) emitió un dictamen preliminar en el caso Data Protection Commissioner v Facebook Ireland (también conocido como Schrems II ). En él se esbozaban diversos escenarios que podrían derivarse del conflicto de regímenes. Un abogado concluyó que el dictamen "debería generar medidas iguales de alivio y alarma para el gobierno estadounidense y para las empresas que dependen de las transferencias de datos". [25]
El 16 de julio de 2020 se publicó una decisión final del TJUE en Schrems II . [26] [27] El Escudo de privacidad UE-EE. UU. para el intercambio de datos fue anulado por el Tribunal de Justicia de la Unión Europea con el argumento de que no proporcionaba protección adecuada a los ciudadanos de la UE frente a la vigilancia gubernamental. [4] El Comité Europeo de Protección de Datos (CEPD), una organización de la UE cuyas decisiones son vinculantes para las autoridades nacionales de supervisión de la privacidad, declaró que "las transferencias basadas en este marco jurídico son ilegales". [28] La sentencia no detuvo por completo las transferencias de datos entre la UE y otros países extranjeros, ya que el tribunal confirmó el uso de "cláusulas contractuales tipo" (CCT). Pero las CCT no necesariamente protegen los datos en países donde la ley es fundamentalmente incompatible con la Carta de los Derechos Fundamentales de la UE y el Reglamento General de Protección de Datos (RGPD), como Estados Unidos. El impasse existente fue objeto de propuestas e investigaciones académicas en curso. [29]
El 25 de marzo de 2022, Estados Unidos y la UE anunciaron que se había alcanzado un nuevo acuerdo de transferencia de datos. [5] El nuevo marco, denominado Marco Transatlántico de Privacidad de Datos , permitiría a los ciudadanos de la UE denunciar las violaciones de la privacidad de los datos a través de un nuevo "Tribunal de Revisión de Protección de Datos". [5] [30] El 7 de octubre de 2022, el presidente Biden firmó una orden ejecutiva para implementar el marco de transferencia de datos entre la Unión Europea y Estados Unidos, que adopta nuevas salvaguardas de privacidad para la recopilación de inteligencia estadounidense. [31] [32]
Se esperaba una decisión sobre el impacto del Brexit en el Escudo de Privacidad para el 31 de diciembre de 2020, pero podría ser discutible debido a la decisión del TJUE. [33]
La nueva versión está sujeta a críticas. [34]
Suiza no es miembro de la UE, pero sigue muchas políticas de la UE a través de la implementación de tratados. En consecuencia, ha implementado su propia versión del marco del Escudo de Privacidad a través de su propio Escudo de Privacidad Suiza-EE. UU. Es en gran medida similar al marco del Escudo de Privacidad UE-EE. UU., pero implementa su propio DPA en lugar de varios DPA de la UE. Tampoco tiene período de gracia y varias otras diferencias significativas en la definición de "datos sensibles", arbitraje vinculante y cambios en las políticas de privacidad. [35] Los programas UE-EE. UU. y Suiza-EE. UU. eran lo suficientemente similares como para que los Estados Unidos los administraran juntos. [36]
