Tras meses de negociaciones, parece que la Comisión Europea y Estados Unidos han llegado a un acuerdo para permitir el trasvase de datos entre ambos continentes tras la anulación del Safe Harbour el pasado mes de octubre. Este Safe Harbour era el que permitía que compañías como Microsoft, Google o Amazon pudiesen mover los datos de usuarios europeos a sus servidores en EEUU garantizando un nivel de seguridad y cumplimiento con las normativas de privacidad europeas. Posteriormente, filtraciones de Eduard Snowden demostraron que las agencias norteamericanas tenían un acceso sin garantías a estos datos, por lo que el acuerdo fue cancelado. Ahora, el nuevo acuerdo se ha denominado Privacy Shield y se espera que sea “fundamentalmente distinto al Safe Harbour” para que pueda soportar un nuevo desafío legal, garantizar a los ciudadanos sus derechos fundamentales de protección de datos y asegurar una “certidumbre legal para los negocios”.
El Privacy Shield, que ha sido renombrado para evitar cualquier asociación con Safe Harbour, ha sido diseñado para ofrecer nuevas salvaguardias con respecto al acceso a los datos por parte de las autoridades y ofrecer a los usuarios el derecho a tomar acciones legales contra las compañías que utilicen sus datos de manera inadecuada. Por otro lado, el acuerdo contempla la creación de un defensor del usuario y una revisión anual del acuerdo.
El nuevo acuerdo Privacy Shield incluirá los elementos siguientes:
- Obligaciones rigurosas para las empresas que trabajan con los datos personales de los europeos y estricta aplicación: Las empresas estadounidenses que deseen importar datos personales desde Europa deberán comprometerse a cumplir obligaciones rigurosas por lo que respecta a las modalidades de tratamiento de los datos personales y a la garantía de los derechos individuales. El Departamento de Comercio velará por que las empresas publiquen sus compromisos, lo que, con arreglo a la legislación de los EE.UU., los hace ejecutables por la Comisión Federal de Comercio. Además, toda empresa que gestione datos de recursos humanos de Europa deberá comprometerse a cumplir las decisiones adoptadas por las autoridades europeas de protección de datos.
- Salvaguardias y obligaciones en materia de transparencia claras para el acceso de la administración estadounidense: Por primera vez, los Estados Unidos han concedido a la UE sólidas garantías de que el acceso de las autoridades públicas encargadas de los servicios coercitivos y de la seguridad nacional estará sujeto a limitaciones, salvaguardas y mecanismos de supervisión claros. Estas excepciones deben utilizarse únicamente en la medida de lo necesario y de forma proporcionada. Los EE.UU. han descartado la vigilancia masiva indiscriminada de los datos personales transferidos a los EE.UU. en el marco del nuevo mecanismo. A fin de supervisar regularmente el funcionamiento del mecanismo habrá una revisión conjunta anual, que también incluirá la cuestión del acceso de la seguridad nacional. La Comisión Europea y el Departamento de Comercio de los EE.UU. llevarán a cabo la revisión e invitarán a la misma a expertos de los servicios de inteligencia de los EE.UU. y de las autoridades europeas de protección de datos.
- Protección eficaz de los derechos de los ciudadanos de la UE con varias posibilidades de recurso: Todos los ciudadanos que consideren que sus datos se han utilizado de forma indebida en el nuevo mecanismo disponen de varias posibilidades de recurso. Se fijan plazos para que las empresas respondan a las reclamaciones. Las autoridades europeas de protección de datos pueden remitir reclamaciones al Departamento de Comercio y a la Comisión Federal del Comercio. Además, la resolución alternativa de litigios será gratuita. Se creará un nuevo Defensor del Pueblo para tratar las reclamaciones relativas al acceso por parte de las autoridades de inteligencia nacionales.
EU capitulates totally on #SafeHarbor. Interesting, given that they held all the cards. https://t.co/GmM8xGWPP6 https://t.co/EVSzYvgooX
— Edward Snowden (@Snowden) febrero 2, 2016
Según la Comisión Europea, el nuevo acuerdo sólo llevará 3 meses para ponerse en funcionamiento y la regulación seguirá vigente cuando entren en vigor las nuevas normas relativas a la protección de datos en 2018. Por otro lado, algunos como la parlamentaria europea Sophie in ‘t Veld, han criticado el acuerdo señalando que “si los americanos son serios sobre esto deberían convertirlo en una ley, y no creo que lo sean”, sobre todo con el peligro (aunque ciertamente improbable) de que el nuevo inquilino de la Casa Blanca sea el conservador Donald Trump.
