ES Diario Oficial de la Unión Europea L 207/1

DECISIÓN DE EJECUCIÓN (UE) 2016/1250 DE LA COMISIÓN

de 12 de julio de 2016

con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por el Escudo de la privacidad UE-EE. UU.

[notificada con el número C(2016) 4176]

(Texto pertinente a efectos del EEE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y en particular su artículo 25, apartado 6,

Previa consulta al Supervisor Europeo de Protección de Datos (2),

1. INTRODUCCIÓN

(1) La Directiva 95/46/CE establece las normas que regulan las transferencias de datos personales desde los Estados miembros a terceros países en la medida en que tales transferencias se encuentren comprendidas en el ámbito de aplicación de dicho instrumento.

(2) El artículo 1 de la Directiva 95/46/CE y los considerandos 2 y 10 de su exposición de motivos pretenden garantizar no solo una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, en particular el derecho fundamental al respeto de la vida privada en lo que respecta al tratamiento de los datos de carácter personal, sino también un alto nivel de protección de los derechos y libertades fundamentales (3).

(3) La importancia del derecho fundamental al respeto de la vida privada, garantizado por el artículo 7, y el derecho fundamental a la protección de los datos de carácter personal, garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, ha sido subrayada en la jurisprudencia del Tribunal de Justicia (4).

(4) De conformidad con el artículo 25, apartado 1, de la Directiva 95/46/CE, los Estados miembros solo permitirán la transferencia de datos personales a un tercer país cuando este garantice un nivel de protección adecuado y se cumplan en él, con anterioridad a dicha transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de la citada Directiva. La Comisión podrá hacer constar que un tercer país garantiza un nivel de protección adecuado a la vista de su legislación interna o de los compromisos internacionales que haya suscrito a efectos de la protección de los derechos de las personas. En tal caso, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la Directiva, los Estados miembros podrán transferir datos personales sin que sea necesaria ninguna garantía adicional.

(5) De conformidad con el artículo 25, apartado 2, de la Directiva 95/46/CE, el nivel de protección de datos ofrecido por un tercer país se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos; en particular las normas de Derecho, generales o sectoriales, vigentes en el tercer país de que se trate.

(6) En la Decisión 2000/520/CE de la Comisión (5), a efectos del artículo 25, apartado 2, de la Directiva 95/46/CE, los «principios de puerto seguro para la protección de la vida privada», aplicados de conformidad con la orientación que ofrecen las preguntas más frecuentes publicadas por el Departamento de Comercio de Estados Unidos, se considera que garantizan un nivel adecuado de protección de los datos personales transferidos desde la Unión a organizaciones establecidas en Estados Unidos.

(7) En sus Comunicaciones COM(2013) 846 final (6) y COM(2013) 847 final de 27 de noviembre de 2013 (7), la Comisión consideró que el fundamento del régimen de puerto seguro debía revisarse y reforzarse en el marco de una serie de factores, entre los que cabe destacar el aumento exponencial de los flujos de datos y su importancia fundamental para la economía transatlántica, el rápido crecimiento del número de empresas estadounidenses que se adhieren al régimen de puerto seguro y la nueva información sobre la escala y el alcance de determinados programas de inteligencia de EE. UU. que suscitan dudas en cuanto al nivel de protección que se puede garantizar. Asimismo, la Comisión identificó una serie de insuficiencias y deficiencias en el régimen de puerto seguro.

(8) Sobre la base de las pruebas reunidas por la Comisión, incluida la información procedente de los trabajos del Grupo de Contacto UE-EE. UU. sobre protección de la vida privada (8) y la información sobre programas de inteligencia estadounidenses recibida en el grupo de trabajo ad hoc UE-EE. UU. (9), la Comisión formuló 13 recomendaciones para una revisión del régimen de puerto seguro. Estas recomendaciones se centraban en fortalecer los principios sustantivos de privacidad e incrementar la transparencia de las políticas de privacidad de las empresas autocertificadas de los EE. UU.; mejorar y hacer más eficaz el control por parte de las autoridades estadounidenses del cumplimiento de los principios por las empresas; facilitar mecanismos de resolución de conflictos para las reclamaciones de los ciudadanos; y garantizar que el recurso a la excepción en ámbitos de seguridad nacional, contemplada en la Decisión 2000/520/CE se limita a lo estrictamente necesario y proporcionado.

(9) En su sentencia de 6 de octubre de 2015 en el asunto C-362/14, Maximillian Schrems/Data Protection Commissioner (10), el Tribunal de Justicia de la Unión Europea declaró inválida la Decisión 2000/520/CE. Sin haber examinado el contenido de los principios de puerto seguro para la protección de la vida privada, el Tribunal observó que la Comisión no había manifestado en dicha Decisión que los Estados Unidos «garantizaran» efectivamente un nivel de protección adecuado en razón de su legislación interna o de sus compromisos internacionales (11).

(10) En este sentido, el Tribunal de Justicia explicó que, si bien la expresión «nivel de protección adecuado» que figura en el artículo 25, apartado 6, de la Directiva 95/46/CE no significa un nivel de protección idéntico al garantizado en el ordenamiento jurídico de la UE, debe entenderse en el sentido de que exige que el tercer país interesado garantice efectivamente un nivel de protección de las libertades y derechos fundamentales «sustancialmente equivalente» al garantizado en la Unión por la Directiva 95/46/CE, entendida a la luz de la Carta de los Derechos Fundamentales. Aunque los medios de los que se sirva ese tercer país para garantizar dicho nivel de protección pueden ser diferentes de los aplicados en la Unión, deben ser eficaces en la práctica (12).

(11) El Tribunal de Justicia criticó que la Decisión 2000/520/CE no contuviera constataciones suficientes sobre la existencia en Estados Unidos de normas estatales destinadas a limitar las posibles injerencias en los derechos fundamentales de las personas cuyos datos se transfieran desde la Unión a Estados Unidos, injerencias que estuvieran autorizadas a llevar a cabo las entidades públicas de ese país cuando persigan fines legítimos, como la seguridad nacional, y sobre la existencia de una tutela judicial efectiva contra injerencias de esa naturaleza (13).

(12) En 2014 la Comisión inició conversaciones con las autoridades estadounidenses a fin abordar el refuerzo del régimen de puerto seguro en consonancia con las trece recomendaciones formuladas en la Comunicación COM(2013) 847 final. A raíz de la sentencia del Tribunal de Justicia de la Unión Europea en el asunto Schrems, estas conversaciones se intensificaron con miras a adoptar una nueva decisión de adecuación que cumpliera lo dispuesto en el artículo 25 de la Directiva 95/46/CE, tal como ha sido interpretado por el Tribunal de Justicia. Los documentos que se adjuntan a la presente Decisión y que también se publicarán en el Registro Federal de Estados Unidos son el resultado de estas conversaciones. Los principios de privacidad (anexo II), así como los compromisos y declaraciones oficiales de diversas autoridades estadounidenses recogidos en los documentos de los anexos I y III a VII, constituyen el denominado «Escudo de la privacidad UE-EE. UU.».

(13) La Comisión ha analizado con detenimiento el Derecho y las prácticas vigentes en los Estados Unidos, incluidos estos compromisos y declaraciones oficiales. Sobre la base de las constataciones expuestas en los considerandos 136 a 140, la Comisión concluye que los Estados Unidos garantizan un nivel adecuado de protección de los datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU. desde la Unión a entidades autocertificadas establecidas en los Estados Unidos.

2. ESCUDO DE LA PRIVACIDAD UE-EE. UU.

(14) El Escudo de la privacidad UE-EE. UU. se basa en un sistema de autocertificación por el que las entidades estadounidenses se comprometen a cumplir una serie de principios de protección de la vida privada —a saber, los principios marco del Escudo de la privacidad UE-EE. UU., incluidos los principios complementarios (en lo sucesivo denominados conjuntamente «los principios»)— establecidos por el Departamento de Comercio de Estados Unidos y enumerados en el anexo II de la presente Decisión. Se aplica tanto a los responsables como a los encargados del tratamiento (agentes), con la particularidad de que los encargados deben estar obligados contractualmente a actuar únicamente siguiendo instrucciones del responsable del tratamiento de la UE y asistir a este último a responder a las personas físicas que ejerzan sus derechos con arreglo a los principios (14).

(15) Sin perjuicio del cumplimiento de las disposiciones nacionales adoptadas en aplicación de la Directiva 95/46/CE, la presente Decisión tiene por efecto que se autoricen las transferencias de un responsable o encargado del tratamiento en la Unión a organizaciones de los Estados Unidos que hayan autocertificado su adhesión a los principios con el Departamento de Comercio y se hayan comprometido a atenerse a ellos. Los principios se aplican únicamente al tratamiento de datos personales realizado por la organización de los EE. UU. siempre que el tratamiento por dichas organizaciones no entre en el ámbito de aplicación de la legislación de la Unión (15). El Escudo de la privacidad no afecta a la aplicación de la legislación de la Unión que regula el tratamiento de los datos personales en los Estados miembros (16).

(16) La protección que confiere a los datos personales el Escudo de la privacidad se aplica a cualquier interesado de la UE (17) cuyos datos hayan sido transferidos desde la Unión a organizaciones en los Estados Unidos que hayan autocertificado su adhesión a los principios ante el Departamento de Comercio.

(17) Los principios se aplicarán inmediatamente después de la certificación. Una excepción está relacionada con el principio de responsabilidad de la transferencia ulterior en los casos en que una organización que autocertifique su adhesión al Escudo de la privacidad tenga relaciones comerciales preexistentes con terceros. Dado que puede transcurrir algún tiempo para adecuar dichas relaciones comerciales a las disposiciones aplicables en virtud del principio de responsabilidad de la transferencia ulterior, la organización estará obligada a hacerlo lo antes posible, y en cualquier caso en un plazo máximo de nueve meses a partir de la autocertificación, siempre que ello tenga lugar en los dos primeros meses siguientes a la fecha en que se haga efectiva la cobertura de del Escudo de la privacidad. Durante este período transitorio, la organización deberá aplicar el principio de notificación y opción (que permite al interesado de la UE la exclusión voluntaria) y, cuando se transfieran datos personales a un tercero que actúe como agente, deberá comprobar que este ofrece al menos el mismo nivel de protección que exigen los principios (18). Este período transitorio proporciona un equilibrio razonable entre el respeto del derecho fundamental a la protección de datos y las necesidades legítimas de las empresas de disponer de tiempo suficiente para adaptarse al nuevo marco cuando esto también dependa de sus relaciones comerciales con terceros.

(18) Este régimen será administrado y controlado por el Departamento de Comercio en virtud de los compromisos expuestos en las declaraciones del secretario de Comercio estadounidense (anexo I de la presente Decisión). En cuanto a la aplicación de los principios de privacidad, la Federal Trade Commission (en lo sucesivo, «FTC») y el Departamento de Transporte han formulado sendas declaraciones que se recogen, respectivamente, en los anexos IV y V de la presente Decisión.

2.1. Principios de privacidad

(19) Como parte de su autocertificación en el marco del Escudo de la privacidad UE-EE. UU., las entidades deben comprometerse a cumplir los principios (19).

(20) De conformidad con el principio de notificación, las entidades tienen la obligación de informar a los interesados sobre una serie de elementos fundamentales relativos al tratamiento de sus datos personales (por ejemplo, el tipo de datos recopilados, la finalidad del tratamiento, los derechos de acceso y de elección, las condiciones aplicables a las transferencias ulteriores y la responsabilidad). Existen otras salvaguardias aplicables, como la obligación de las entidades de hacer públicas sus políticas de privacidad (en consonancia con los principios) y de proporcionar enlaces al sitio web del Departamento de Comercio (con información más detallada sobre la autocertificación, los derechos de los interesados y los mecanismos de recurso existentes), a la lista del Escudo de la privacidad a la que se refiere el considerando 30 y al sitio web de un proveedor adecuado de modalidades alternativas de solución de conflictos.

(21) De acuerdo con el principio de integridad de los datos y de limitación de la finalidad, los datos personales deberán limitarse a lo pertinente para la finalidad del tratamiento, tener fiabilidad para el uso previsto y ser exactos, completos y actuales. Una entidad no podrá tratar datos personales de manera incompatible con los fines que motivaron en un principio su recogida o que el interesado haya aprobado posteriormente. Las organizaciones deben velar por que los datos personales sean fiables para su uso previsto, exactos, completos y actualizados.

(22) Cuando un fin nuevo (modificado) sea sustancialmente diferente pero compatible con la finalidad original, el principio de opción confiere a los interesados el derecho a oponerse (exclusión voluntaria). El principio de opción no anula la prohibición explícita de tratamiento incompatible (20). En el ámbito de la mercadotecnia directa se aplican normas específicas que, por lo general, permiten al interesado ejercer el derecho de exclusión de sus datos personales «en cualquier momento» (21). En el caso de los datos especialmente protegidos, las entidades deben obtener, normalmente, el consentimiento expreso del interesado (participación voluntaria).

(23) De acuerdo con el principio de integridad de los datos y de limitación de la finalidad, la información personal podrá conservarse de forma que identifique o haga identificable a un individuo (esto es, en forma de datos personales) únicamente mientras ello sirva al fin para el que se recogió inicialmente o se autorizó posteriormente. Esta obligación no impide a las organizaciones del Escudo de la privacidad continuar tratando datos personales durante períodos más largos, pero únicamente durante el tiempo y en la medida en que dicho tratamiento sirva razonablemente a uno o varios de los siguientes fines: archivo en el interés público, periodismo, literatura y arte, investigación científica e histórica y análisis estadístico. Un período más largo de conservación de datos personales para uno de estos fines estará sujeto a las salvaguardias previstas en los principios.

(24) Con arreglo al principio de seguridad, las entidades que creen, mantengan, utilicen o difundan datos personales deberán tomar medidas de seguridad «razonables y adecuadas», habida cuenta de los riesgos asociados al tratamiento de los datos y la naturaleza de estos. En el supuesto de subtratamiento, las entidades deberán celebrar un contrato con el subencargado del tratamiento que garantice el mismo nivel de protección que el proporcionado por los principios de privacidad, y tomar medidas para asegurar su debida aplicación.

(25) El principio de acceso (22) reconoce el derecho de los interesados a que, sin necesidad de una justificación ni tener que abonar una tasa excesiva, una entidad les confirme si trata datos personales relacionados con ellos y les comunique los datos en cuestión en un plazo razonable. Este derecho solo podrá restringirse en circunstancias excepcionales; cualquier denegación o limitación del derecho de acceso tendrá que ser necesaria y estar debidamente justificada, y corresponderá a la entidad demostrar el cumplimiento de tales requisitos. Los interesados deberán poder corregir, modificar o suprimir información personal cuando sea inexacta o se hayan incumplido los principios de privacidad en su tratamiento. En ámbitos en que las empresas tienen más probabilidades de recurrir al tratamiento automatizado de datos personales para adoptar decisiones que afectan al individuo (por ejemplo, concesión de créditos, ofertas hipotecarias, empleo), la legislación de los EE. UU. ofrece una protección específica contra las decisiones negativas (23). Estos actos suelen disponer que los individuos tendrán derecho a ser informados de los motivos específicos de la decisión (por ejemplo, la denegación de un crédito), a impugnar la información incompleta o inexacta (así como el hecho de que esté basada en factores ilegales), y a buscar reparación. Estas normas ofrecen protección en el probablemente limitado número de casos de decisiones automatizadas adoptadas por la propia organización del Escudo de la privacidad (24). Sin embargo, dado el uso cada vez mayor del tratamiento automatizado, incluida la elaboración de perfiles, como base para tomar decisiones que afectan a los individuos en la economía digital moderna, este es un ámbito que debe ser objeto de un estrecho seguimiento. Para facilitar este seguimiento, se ha acordado con las autoridades estadounidenses que un diálogo sobre la toma de decisiones automatizada, incluido un intercambio sobre las similitudes y diferencias en el enfoque de la UE y de los EE. UU. en este sentido, formará parte de la primera revisión anual, así como las revisiones posteriores, según proceda.

(26) En virtud del principio de recurso, aplicación y responsabilidad (25), las organizaciones participantes deberán contar con mecanismos sólidos a fin de garantizar la observancia de los demás principios de privacidad y una vía de recurso para los interesados de la UE cuyos datos personales hayan sido tratados de manera irregular, incluida una tutela judicial efectiva. Cuando una entidad ha decidido voluntariamente autocertificarse (26) en el marco del Escudo de la privacidad, contrae la obligación de cumplir plenamente los principios. Al objeto de poder seguir acogiéndose al Escudo de la privacidad para recibir datos personales de la Unión, la entidad deberá renovar cada año su autocertificación de adhesión al marco. Asimismo, las entidades deberán tomar medidas para verificar (27) que las políticas de privacidad que han publicado se ajustan a los principios y se aplican en consecuencia. Dicha verificación puede llevarse a cabo, o bien mediante un sistema de autoevaluación, que deberá constar de una serie de procedimientos internos que garanticen que los trabajadores reciban formación con respecto a la aplicación de las políticas de privacidad y que se efectúen controles objetivos periódicos del cumplimiento, o bien mediante verificaciones por terceros, cuyos métodos pueden incluir auditorías o inspecciones aleatorias. Además, la entidad deberá establecer un mecanismo de recurso eficaz para tramitar las reclamaciones presentadas en este sentido (véase también, a este respecto, el considerando 43) y estar sujeta a los poderes de investigación y aplicación de la FTC, el Departamento de Transporte u otro organismo oficial autorizado de los Estados Unidos que garantice efectivamente el cumplimiento de los principios.

(27) Se aplicarán normas especiales para las llamadas «transferencias ulteriores», es decir, las transferencias de datos personales de una organización a un tercero responsable o encargado, con independencia de si este último está establecido en los Estados Unidos o en un tercer país fuera de los Estados Unidos (y de la Unión). El objetivo de estas normas es asegurar que las protecciones garantizadas a los datos personales de los interesados de la UE no se vean afectadas, y no puedan eludirse, al transmitirlos a terceros. Esto es especialmente pertinente en las cadenas de tratamiento más complejas que son típicas de la economía digital de hoy en día.

(28) Con arreglo al principio de responsabilidad de la transferencia ulterior (28), solo se podrán transferir datos: i) con fines limitados y específicos, ii) en virtud de un contrato (o de un acuerdo similar dentro de un grupo de empresas (29)), y iii) únicamente si dicho contrato ofrece el mismo nivel de protección que el garantizado por los principios, lo que incluye el requisito de que la aplicación de los principios se limite únicamente a la medida necesaria a efectos de la seguridad nacional, la actuación policial y otros fines de interés público (30). Este principio debe interpretarse en relación con el principio de notificación y, en el caso de una transferencia ulterior a un tercero responsable (31), con el principio de opción, según el cual los interesados deben ser informados (entre otros) acerca del tipo o la identidad de cualquier tercero receptor, la finalidad de la transferencia ulterior, así como de la opción ofrecida, y pueden oponerse (exclusión voluntaria) a las transferencias ulteriores de sus datos o, en caso de datos especialmente protegidos, han de dar su «consentimiento expreso» (participación voluntaria) a tal efecto De acuerdo con el principio de integridad de los datos y de limitación de la finalidad, la obligación de proporcionar el mismo nivel de protección que el garantizado por los principios presupone que el tercero solo podrá tratar los datos personales que se le transfieran de manera que no sea incompatible con los fines que motivaron en un principio su recogida o que el interesado haya aprobado posteriormente.

(29) La obligación de proporcionar el mismo nivel de protección que exigen los principios se aplica a todas las terceras partes implicadas en el tratamiento de los datos así transferidos, con independencia de su ubicación (en los EE. UU. u otro tercer país), así como cuando el tercero receptor original transfiera los datos a otro tercero receptor, por ejemplo, para fines de subtratamiento. En todos los casos, el contrato celebrado con el tercero receptor debe prever que este último notificará a la organización del Escudo de la privacidad si toma una determinación que ya no pueda cumplir esta obligación. Cuando se tome tal determinación, el tratamiento por el tercero deberá terminar o deberán tomarse otras medidas razonables y adecuadas para poner remedio a la situación (32). Cuando surgen problemas de cumplimiento en la cadena de tratamiento (o subtratamiento), la entidad que actúe como responsable del tratamiento de los datos personales tendrá que demostrar que no se le puede imputar el hecho que ha provocado el daño o, de lo contrario, deberá asumir la responsabilidad del mismo, tal como se especifica en el principio de recurso, aplicación y responsabilidad. Se aplican protecciones adicionales en caso de transferencia ulterior a un tercero (33).

2.2. Transparencia, administración y supervisión del Escudo de la privacidad UE-EE. UU.

(30) El Escudo de la privacidad UE-EE. UU. prevé mecanismos de supervisión y aplicación para verificar y garantizar que las empresas estadounidenses autocertificadas cumplen los principios y que se aborda cualquier eventual incumplimiento. Estos mecanismos se establecen en los principios (anexo II) y los compromisos asumidos por el Departamento de Comercio (anexo I), la FTC (anexo IV) y el Departamento de Transporte (anexo V).

(31) Con miras a garantizar la correcta aplicación del Escudo de la privacidad UE-EE. UU., las partes interesadas, entre ellas las personas a las que se refieren los datos, los exportadores de datos y las autoridades de protección de datos («APD») deben poder identificar a las entidades que suscriban los principios. A tal efecto, el Departamento de Comercio (o su representante) se ha comprometido a mantener y poner a disposición del público una lista de las entidades que han autocertificado su adhesión a los principios de privacidad y están sujetas a la jurisdicción de, como mínimo, una de las autoridades mencionadas en los anexos I y II de la presente Decisión (en lo sucesivo, «lista del Escudo de la privacidad») (34). El Departamento de Comercio actualizará dicha lista en función de las renovaciones anuales de las autocertificaciones de las entidades que se presenten y cada vez que una entidad se retire o sea eliminada del Escudo de la privacidad UE-EE. UU. También mantendrá y pondrá a disposición del público un registro autorizado de las entidades que hayan sido eliminadas de la lista, identificando en cada caso el motivo de dicha eliminación. Por último, proporcionará un enlace a la lista de expedientes de ejecución de la FTC relacionados con el Escudo de la privacidad que puede consultarse en el sitio web de la citada institución.

(32) El Departamento de Comercio publicará tanto la lista del Escudo de la privacidad como las renovaciones de las autocertificaciones en un sitio web específico. Las entidades autocertificadas deberán a su vez facilitar la dirección web de la lista del Escudo de la privacidad. Además, si la política de privacidad de la entidad se encuentra publicada en Internet, deberá incluir un hipervínculo al sitio web del Escudo de la privacidad y otro al sitio web o al formulario de presentación de reclamaciones de la instancia independiente de recurso que se ocupará de investigar las reclamaciones pendientes de resolución. El Departamento de Comercio verificará sistemáticamente, en el marco de la certificación y recertificación de una entidad, que sus políticas en materia de privacidad se ajusten a los principios.

(33) Las entidades que incumplan de forma sistemática los principios serán eliminadas de la lista del Escudo de la privacidad y deberán devolver o suprimir los datos personales que hayan obtenido en el marco de dicho régimen. En los demás casos de eliminación de la lista, como la retirada voluntaria de la participación o la falta de recertificación, la entidad podrá conservar tales datos si reafirma cada año ante el Departamento de Comercio su compromiso de continuar aplicando los principios o brinda una protección adecuada de los datos personales por otros medios autorizados (por ejemplo, mediante un contrato que refleje fielmente las disposiciones de las cláusulas contractuales tipo pertinentes aprobadas por la Comisión). En este caso, la entidad tendrá que designar un punto de contacto en su seno para todas las cuestiones relacionadas con el Escudo de la privacidad.

(34) El Departamento de Comercio seguirá de cerca a las entidades que hayan dejado de ser miembro del Escudo de la privacidad UE-EE. UU., bien por haberse retirado voluntariamente o porque ha expirado su certificación, para verificar si van a devolver, borrar o conservar (35) los datos personales recibidos anteriormente en virtud del marco. Si conservan estos datos, las entidades están obligadas a seguirles aplicando los principios. En los casos en que el Departamento de Comercio haya eliminado del marco a entidades debido a un persistente incumplimiento de los principios, se asegurará de que estas entidades devuelvan o supriman los datos personales recibidos con arreglo al marco.

(35) Cuando una entidad abandona el Escudo de la privacidad UE-EE. UU. por cualquier motivo, debe retirar todas las declaraciones públicas que den a entender que sigue participando en el Escudo o que disfruta de las ventajas que este ofrece, y, en particular, toda referencia a dicho Escudo que aparezca en su política de privacidad publicada. El Departamento de Comercio buscará y perseguirá las falsas declaraciones de participación en el marco, en particular por antiguos miembros (36). Cualquier deficiencia de la información dada a conocer al público por una entidad en lo referente a su adhesión a los principios en forma de declaraciones o prácticas engañosas podrá denunciarse ante la FTC, el Departamento de Transporte u otras autoridades estadounidenses competentes con funciones coercitivas; las deficiencias de la información proporcionada al Departamento de Comercio serán perseguibles en virtud de la False Statements Act (Ley de Declaraciones Falsas), codificada en el título 18, artículo 1001, del United States Code (Código de los Estados Unidos; en lo sucesivo, «USC») (37).

(36) El Departamento de Comercio supervisará de oficio cualquier afirmación fraudulenta de participación en el Escudo de la privacidad o el uso indebido de la marca de certificación del Escudo, y las APD podrán solicitar el examen de las entidades en un punto de contacto designado a tal efecto en el Departamento. Cuando una entidad se haya retirado del Escudo, no renueve su autocertificación o sea eliminada de la lista del Escudo, el Departamento de Comercio comprobará constantemente que dicha entidad haya suprimido de su política de privacidad toda referencia al Escudo que dé a entender que sigue adherida al mismo y, en caso de persistir en las afirmaciones fraudulentas, remitirá el asunto a la FTC, al Departamento de Transporte o a cualquier otra instancia competente con vistas a la posible adopción de medidas coercitivas. Asimismo, enviará cuestionarios a las entidades cuyas autocertificaciones caduquen y a aquellas que se hayan retirado voluntariamente del Escudo, a fin de confirmar si la entidad devolverá o suprimirá los datos personales que recibió durante su participación en el Escudo o si seguirá aplicando los principios de privacidad a dichos datos y, en este último supuesto, averiguar qué miembro de la entidad servirá de punto de contacto permanente para atender las preguntas relacionadas con el Escudo.

(37) De manera permanente, el Departamento de Comercio llevará a cabo de oficio revisiones (38) del cumplimiento de las entidades autocertificadas, en particular mediante el envío de cuestionarios detallados. También llevará a cabo de forma sistemática revisiones cuando haya recibido una denuncia específica (no frívola), cuando una organización no responda satisfactoriamente a sus solicitudes de información, o cuando existan pruebas creíbles que sugieran que una organización puede no estar cumpliendo los principios. En su caso, el Departamento de Comercio también consultará con las APD sobre dichas revisiones del cumplimiento.

2.3. Mecanismos de recurso y tramitación y ejecución de reclamaciones

(38) El Escudo de la privacidad UE-EE. UU., a través del principio de recurso, aplicación y responsabilidad, obliga a las entidades a prever mecanismos de recurso a los particulares afectados por el incumplimiento y, por tanto, la posibilidad para los interesados de la UE de presentar reclamaciones en relación con el incumplimiento por parte de entidades autocertificadas de EE. UU. y que se resuelvan estas reclamaciones, en su caso mediante una resolución que conceda un recurso efectivo.

(39) Como parte de su autocertificación, las entidades deberán cumplir los requisitos del principio de recurso, aplicación y responsabilidad facilitando mecanismos de recurso independientes, eficaces y disponibles rápidamente, mediante los cuales puedan investigarse y resolverse rápidamente las reclamaciones y controversias sin coste alguno para el interesado.

(40) Las entidades podrán recurrir a mecanismos independientes en la Unión o en los Estados Unidos. Esto incluye la posibilidad de comprometerse voluntariamente a cooperar con las autoridades de protección de datos de la UE. No obstante, no existe dicha opción si las organizaciones tratan datos sobre recursos humanos, dado que la cooperación con las APD es en estos casos obligatoria. Otras opciones son la resolución alternativa de litigios (RAL) independiente o programas de privacidad desarrollados por el sector privado que incorporen los principios en sus normas. Estos últimos deberán incluir mecanismos de ejecución eficaces de conformidad con los requisitos del principio de recurso, aplicación y responsabilidad. Las entidades están obligadas a subsanar los problemas de incumplimiento. También deberán especificar que están sujetas a los poderes de investigación y ejecución de la FTC, el Departamento de Transporte o cualquier otro organismo oficial autorizado de los Estados Unidos.

(41) Por consiguiente, el marco del Escudo de la privacidad facilita a los interesados una serie de posibilidades para hacer valer sus derechos, presentar reclamaciones en relación con el incumplimiento por parte de entidades autocertificadas de los Estados Unidos, y que se resuelvan sus reclamaciones, en su caso mediante una decisión que conceda la tutela judicial efectiva. Los particulares pueden presentar una reclamación directamente a una organización, a un órgano de resolución de litigios independiente designado por la organización, a las autoridades nacionales de protección de datos o a la FTC.

(42) En caso de que sus reclamaciones no sean resueltas por alguno de estos mecanismos de recurso o de ejecución, los particulares tienen derecho a invocar el arbitraje vinculante en el marco del panel del Escudo de la privacidad (anexo 1 del anexo II de la presente Decisión). Excepto por lo que se refiere al panel arbitral, que exige que se agoten ciertos recursos antes de que pueda recurrirse a él, los particulares tienen la posibilidad de ejercer alguna o todas las vías de recurso de su elección, y no están obligados a elegir un mecanismo antes que otro ni a seguir una secuencia específica. Sin embargo, hay un cierto orden lógico que es aconsejable seguir, como se indica a continuación.

(43) En primer lugar, los interesados de la UE podrán perseguir los casos de incumplimiento de los principios de privacidad a través de contactos directos con la empresa estadounidense autocertificada. Al objeto de facilitar la resolución, la entidad deberá establecer un mecanismo de recurso eficaz para tramitar las reclamaciones presentadas. La política de privacidad de una entidad ha de indicar por tanto claramente un punto de contacto, ya sea interno o externo, que se encargue de tramitar las reclamaciones (incluida cualquier instancia pertinente de la Unión que pueda atender las consultas o reclamaciones) e informar asimismo de los mecanismos independientes de tramitación de reclamaciones.

(44) Cuando reciba una reclamación de un individuo, directamente de este o a través del Departamento de Comercio tras haber sido remitida por una APD, la entidad deberá responder al interesado de la UE en un plazo de 45 días. En su respuesta deberá incluir una apreciación del fondo de la reclamación e información sobre el modo en que la entidad subsanará el problema. Asimismo, las entidades tienen la obligación de responder sin demora a las consultas y demás solicitudes de información del Departamento de Comercio o de una APD (39) (en el supuesto de que la entidad se haya comprometido a cooperar con la APD), con respecto a su adhesión a los principios. Las entidades deben conservar registros sobre la aplicación de sus políticas de privacidad y ponerlos a disposición cuando se soliciten ante una instancia independiente de recurso o la FTC (u otra autoridad estadounidense competente en materia de investigación de prácticas desleales y fraudulentas) en el marco de investigaciones o reclamaciones por incumplimiento.

(45) En segundo lugar, las personas también pueden reclamar directamente a un organismo independiente de solución de conflictos (en los Estados Unidos o en la Unión) designado por una entidad que se encargue de investigar y resolver las reclamaciones individuales (salvo que carezcan manifiestamente de fundamento o propósito) y ofrecer a la persona una vía de recurso adecuada y gratuita. Las sanciones y medidas correctoras impuestas por dicho organismo han de ser lo suficientemente rigurosas para garantizar el cumplimiento de los principios por parte de las entidades, y deben prever la anulación o corrección por estas últimas de los efectos del incumplimiento y, según el caso, la suspensión del tratamiento de los datos personales en cuestión o la supresión de estos, así como la publicidad de los casos de incumplimiento detectados. Los organismos independientes de solución de conflictos designados por una entidad tendrán que incluir en sus sitios web públicos información pertinente sobre el Escudo de la privacidad UE-EE. UU. y los servicios que prestan en este sentido. Deberán publicar un informe anual que contenga estadísticas agregadas sobre estos servicios (40).

(46) Como parte de sus procedimientos de revisión del cumplimiento, el Departamento de Comercio comprobará que las empresas estadounidenses autocertificadas se hayan registrado efectivamente en las instancias independientes de recurso en las que afirman haberlo hecho. Tanto las entidades como las instancias independientes de recurso competentes deben responder sin demora a las consultas y solicitudes de información formuladas por el Departamento de Comercio con respecto al Escudo de la privacidad.

(47) Cuando una entidad incumpla la decisión de un organismo de solución de conflictos o de autorregulación, este último deberá notificar dicho incumplimiento al Departamento de Comercio y a la FTC (o a otra autoridad estadounidense competente en materia de investigación de prácticas desleales y fraudulentas), o a un órgano jurisdiccional competente (41). Si una organización se niega a cumplir una decisión definitiva de un organismo de autorregulación, un organismo independiente de solución de conflictos o un organismo público competente en materia de privacidad, o cuando dicho organismo determine que una organización a menudo no cumple los principios, esto se considerará como un incumplimiento sistemático con el resultado de que el Departamento de Comercio, tras dar a la organización que haya incumplido un preaviso de 30 días y una oportunidad para responder, eliminará a dicha organización de la lista (42). Si, una vez suprimida de la lista, la organización sigue alegando su certificación al Escudo de la privacidad, el Departamento la remitirá a la FTC u otro organismo con funciones coercitivas (43).

(48) En tercer lugar, las personas también pueden presentar sus reclamaciones a una autoridad nacional de protección de datos. Las entidades están obligadas a cooperar en la investigación y la resolución de una reclamación por una APD por lo que respecta al tratamiento de datos de recursos humanos recogidos en el contexto de una relación laboral o cuando la entidad respectiva se haya sometido voluntariamente a la supervisión por parte de las APD. En concreto, las entidades deben responder a las solicitudes de información, adecuarse a las recomendaciones proporcionadas por la APD, inclusive sobre medidas correctoras o medidas compensatorias, y aportar a la APD la confirmación por escrito de que se han adoptado dichas medidas.

(49) Las APD proporcionarán asesoramiento a través de un panel informal de APD a escala de la Unión (44), que permitirá seguir un enfoque armonizado y coherente por lo que respecta a una reclamación concreta. El asesoramiento se proporcionará una vez que las partes en litigio hayan tenido una oportunidad razonable de formular las observaciones y aportar las pruebas que deseen. El panel prestará asesoramiento tan pronto como lo permita el respeto de las garantías procesales y, por regla general, en los sesenta días siguientes a la recepción de la reclamación. Si una entidad no ha acatado las recomendaciones de la APD en un plazo de veinticinco días desde la prestación de asesoramiento, y no ha dado una explicación satisfactoria de la demora, el panel notificará su intención, o bien de trasladar el asunto a la FTC (o a otro servicio estadounidense competente con funciones coercitivas), o bien de resolver que se ha vulnerado gravemente el compromiso de cooperación. El primer supuesto podría dar lugar a la adopción de medidas coercitivas en virtud del artículo 5 de la FTC Act (o de otro acto legislativo similar). En el segundo supuesto, el panel informará al Departamento de Comercio, que considerará que la negativa de la entidad constituye un incumplimiento sistemático del asesoramiento del panel de la APD y la eliminará de la lista del Escudo de la privacidad.

(50) Si la APD a la que se ha dirigido la reclamación no toma medidas al respecto o estas son insuficientes, el reclamante tendrá la posibilidad de impugnar esta falta de medidas ante los órganos jurisdiccionales nacionales del Estado miembro de que se trate.

(51) Los particulares también podrán presentar reclamaciones a las APD, incluso cuando el panel de la APD no haya sido designado como organismo de resolución de litigios de una entidad. En estos casos, la APD podrá remitir dichas reclamaciones al Departamento de Comercio o a la FTC. Con el fin de facilitar y aumentar la cooperación en asuntos relativos a reclamaciones individuales e incumplimiento por parte de las organizaciones del Escudo de la privacidad, el Departamento de Comercio establecerá un punto de contacto específico que servirá de enlace y ayudará a las ADP con las indagaciones sobre el cumplimiento de los principios por parte de una entidad (45). Asimismo, la FTC se ha comprometido a establecer un punto de contacto específico (46) y a prestar asistencia en las investigaciones de las APD, en virtud de la US SAFE WEB Act (Ley estadounidense de seguridad en internet) (47).

(52) En cuarto lugar, el Departamento de Comercio se ha comprometido a recibir, examinar y hacer todo lo posible por resolver las reclamaciones relativas al incumplimiento de los principios. A tal efecto, facilita a las APD procedimientos especiales para remitir las reclamaciones a un punto de contacto específico, realizar un seguimiento de las mismas y colaborar con las empresas interesadas para facilitar su resolución. Con objeto de agilizar la tramitación de las reclamaciones individuales, el punto de contacto tratará directamente con la APD pertinente las cuestiones relacionadas con el cumplimiento y, en particular, la pondrá al tanto del estado de las reclamaciones en un plazo no superior a los noventa días siguientes a la remisión de estas. Esto permitirá a los interesados presentar las reclamaciones por incumplimiento de empresas estadounidenses autocertificadas directamente ante su APD nacional y que esta las remita al Departamento de Comercio, autoridad estadounidense encargada de la administración del Escudo de la privacidad UE-EE. UU. Dicho Departamento se ha comprometido asimismo a presentar, en el marco de la revisión anual del funcionamiento del Escudo, un informe que analice de forma agregada las reclamaciones que recibe cada año (48).

(53) Cuando, a partir de sus verificaciones de oficio, de las reclamaciones recibidas o de cualquier otra información, el Departamento de Comercio concluya que una entidad ha incumplido de forma sistemática los principios, procederá a eliminarla de la lista del Escudo de la privacidad. Se considerará incumplimiento sistemático la negativa a cumplir las decisiones definitivas de un organismo de autorregulación, un organismo independiente de solución de conflictos o un organismo público competente en materia de privacidad, incluidas las APD.

(54) En quinto lugar, una entidad del Escudo de la privacidad debe estar sujeta a los poderes de investigación y ejecución de las autoridades estadounidenses, en particular la Comisión Federal de Comercio (49), que garantizará de manera eficaz el respeto de los principios. La Comisión Federal de Comercio examinará con carácter prioritario los casos de incumplimiento de los principios remitidos por organismos independientes de solución de conflictos o de autorregulación, el Departamento de Comercio y las APD (de oficio, o previa reclamación) al objeto de determinar si se ha vulnerado el artículo 5 de la FTC Act (Ley de la Comisión Federal de Comercio) (50). La FTC se ha comprometido a crear un procedimiento normalizado de remisión, a designar un punto de contacto en su seno al que las APD puedan remitir los asuntos pertinentes y a intercambiar información sobre las remisiones. Asimismo, admitirá reclamaciones directamente de particulares y emprenderá investigaciones de oficio en el marco del Escudo de la privacidad, en particular como parte de sus investigaciones más amplias de cuestiones relacionadas con la privacidad.

(55) La FTC puede exigir el cumplimiento mediante órdenes administrativas («autos de avenencia») y supervisar de manera sistemática el acatamiento de las mismas. Si las entidades incumplen sus obligaciones, la FTC podrá remitir el asunto al órgano jurisdiccional competente con el fin de solicitar multas administrativas y otras soluciones jurídicas, incluida la indemnización por cualquier perjuicio ocasionado por la conducta infractora. Por otra parte, la FTC podrá acudir directamente a un tribunal federal para solicitar medidas cautelares preliminares o permanentes u otro tipo de soluciones jurídicas. Los autos de avenencia (consent orders) dictados a una entidad perteneciente al Escudo de la privacidad contendrán disposiciones de autoinformación (51) y las entidades tendrán que hacer públicas todas las secciones pertinentes relacionadas con el Escudo de todo informe de cumplimiento o evaluación presentado a la FTC. Por último, la FTC mantendrá una lista en línea de las empresas que hayan sido objeto de una resolución de la FTC o de un órgano jurisdiccional en asuntos relativos al Escudo.

(56) En sexto lugar, como instancia de último recurso en el supuesto de que ninguna de las anteriores vías disponibles haya resuelto de manera satisfactoria la reclamación de un particular, el interesado de la UE podrá solicitar un procedimiento de arbitraje vinculante al «panel del Escudo de la privacidad». Las entidades deben informar a los particulares sobre la posibilidad, en ciertas condiciones, de invocar el arbitraje vinculante y están obligadas a responder cuando un particular haya recurrido a esta opción, notificándolo a la entidad de que se trate (52).

(57) Este panel arbitral estará integrado por un grupo mínimo de veinte árbitros designados por el Departamento de Comercio y la Comisión en función de su independencia, su integridad y su experiencia en el Derecho estadounidense en materia de privacidad y el Derecho de la Unión en materia de protección de datos. En cada litigio particular, las partes seleccionarán de este panel un grupo compuesto por uno o tres (53) árbitros. El procedimiento se regirá por un reglamento estándar de arbitraje acordado entre el Departamento de Comercio y la Comisión. Estas normas completarán el marco ya concluido que contiene varios elementos que refuerzan la accesibilidad de este mecanismo para los interesados de la UE: i) en la preparación de una alegación ante el panel, el interesado podrá ser asistido por su APD nacional; ii) si bien el arbitraje se celebrará en los Estados Unidos, los interesados de la UE podrán participar, si lo desean, por videoconferencia o conferencia telefónica sin coste alguno para ellos; iii) si bien el arbitraje se desarrollará en inglés, previa solicitud motivada, normalmente (54) se proporcionará un servicio de traducción e interpretación en las audiencias arbitrales sin coste para el interesado; iv) por último, si bien cada parte deberá pagar los honorarios de sus respectivos abogados, en caso de disponer de representación letrada ante el panel, el Departamento de Comercio creará un fondo financiado con cuotas anuales pagadas por las entidades pertenecientes al Escudo de la privacidad, que cubrirá los gastos subvencionables del procedimiento de arbitraje hasta los importes máximos que determinen las autoridades estadounidenses en consulta con la Comisión.

(58) El panel del Escudo de la privacidad estará facultado para imponer la «compensación equitativa individualizada de carácter no monetario» (55) necesaria para subsanar el incumplimiento de los principios. Si bien dicho panel tendrá en cuenta en su apreciación las soluciones jurídicas que ya se hayan obtenido por las demás vías de recurso del Escudo de la privacidad, las personas afectadas podrán recurrir de todos modos al arbitraje si consideran que tales soluciones son insuficientes. Esto permitirá a los interesados de la UE solicitar un procedimiento de arbitraje en todos aquellos casos en los que la actuación u omisión de las autoridades estadounidenses competentes (por ejemplo, la FTC) no haya resuelto de manera satisfactoria sus reclamaciones. No se podrá solicitar un procedimiento arbitraje en aquellos casos en que la APD esté facultada jurídicamente para resolver la reclamación en cuestión con respecto a la empresa estadounidense autocertificada, en particular cuando la entidad tenga la obligación de cooperar y de acatar las recomendaciones formuladas por la APD en relación con el tratamiento de los datos de recursos humanos recopilados en el ámbito laboral o se haya comprometido voluntariamente a hacerlo. En virtud de la Federal Arbitration Act (Ley Federal de Arbitraje), las personas físicas pueden ejecutar el laudo arbitral ante los órganos jurisdiccionales estadounidenses con el fin de garantizar una vía de recurso en caso de incumplimiento por parte de la empresa.

(59) En séptimo lugar, cuando una entidad no cumpla su compromiso de observar los principios y la política de privacidad publicada, el Derecho estadounidense podrá prever otras vías de recurso judicial que ofrezcan soluciones jurídicas en virtud del Derecho de la responsabilidad civil y en casos de falsedad u omisión dolosa, actos o prácticas desleales o fraudulentos, o incumplimiento de contrato.

(60) Además, cuando una APD, tras recibir una reclamación de un interesado de la UE, considere que la transferencia de datos personales a una entidad en los Estados Unidos se realiza violando la legislación de la UE sobre protección de datos, incluso cuando el exportador de datos de la UE tenga razones para creer que la entidad no se ajusta a los principios, también podrá ejercer sus competencias respecto del exportador de datos y, si es necesario, ordenar la suspensión de la transferencia.

(61) A la luz de la información expuesta en la presente sección, la Comisión considera que los principios establecidos por el Departamento de Comercio de los Estados Unidos proporcionan, como tales, un nivel de protección de los datos personales sustancialmente equivalente al brindado por los principios básicos fundamentales que establece la Directiva 95/46/CE.

(62) Además, las obligaciones en materia de transparencia y la administración y revisión del cumplimiento del Escudo de la privacidad por parte del Departamento de Comercio garantizan la aplicación efectiva de los principios.

(63) Por otra parte, la Comisión considera que, en su conjunto, los mecanismos de recurso, supervisión y ejecución previstos por el Escudo de la privacidad permiten identificar y sancionar en la práctica las vulneraciones de los principios cometidas por las organizaciones pertenecientes a dicho marco y ofrecen al interesado la posibilidad de ejercer acciones en Derecho para acceder a los datos personales que le conciernen y, en último término, obtener su rectificación o supresión.

3. ACCESO A LOS DATOS PERSONALES TRANSFERIDOS EN EL MARCO DEL ESCUDO DE LA PRIVACIDAD UE-EE. UU. Y UTILIZACIÓN DE LOS MISMOS POR LOS PODERES PÚBLICOS ESTADOUNIDENSES

(64) Tal como se desprende del anexo II, sección I, apartado 5, la adhesión a los principios se limita a lo estrictamente necesario para satisfacer las exigencias de seguridad nacional, interés público o aplicación de la ley.

(65) La Comisión ha evaluado las limitaciones y salvaguardias existentes en el Derecho de los Estados Unidos con respecto al acceso a los datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU. y la utilización de los mismos por los poderes públicos estadounidenses a efectos de seguridad nacional, aplicación de la ley y otros fines de interés público. Asimismo, el Gobierno estadounidense, a través de su Oficina del Director de Inteligencia Nacional (ODNI, por sus siglas en inglés) (56), ha proporcionado a la Comisión una serie de declaraciones y compromisos detallados que se exponen en el anexo VI de la presente Decisión. Mediante carta firmada por el secretario de Estado y adjunta como anexo III a la presente Decisión, el Gobierno de los Estados Unidos se ha comprometido asimismo a crear un nuevo mecanismo de supervisión de las injerencias con fines de seguridad nacional, a saber, el Defensor del Pueblo en el ámbito del Escudo de la privacidad, que será independiente de los servicios de inteligencia. Por último, la declaración del Departamento de Justicia de los Estados Unidos contenida en el anexo VII de la presente Decisión describe las limitaciones y salvaguardias aplicables al acceso a los datos y a su utilización por parte de los poderes públicos a efectos de aplicación de la ley y otros fines de interés público. Con vistas a mejorar la transparencia y reflejar la naturaleza jurídica de estos compromisos, cada uno de los documentos enumerados y adjuntos a la presente Decisión se publicará en el Registro Federal de los Estados Unidos.

(66) A continuación se desarrollan las constataciones de la Comisión con respecto a las limitaciones del acceso a los datos transferidos desde la Unión Europea a los Estados Unidos y su utilización por parte de los poderes públicos de dicho país, así como sobre la existencia de una tutela judicial efectiva.

3.1. Acceso y utilización por parte de los poderes públicos estadounidenses a efectos de seguridad nacional

(67) Del análisis de la Comisión se desprende que el Derecho estadounidense establece varias limitaciones al acceso a los datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU. y su utilización a efectos de seguridad nacional, así como mecanismos de supervisión y recurso que ofrecen salvaguardias suficientes que permiten proteger de manera eficaz dichos datos contra injerencias ilícitas y los riesgos de abuso (57). Este marco jurídico se ha reforzado considerablemente desde 2013, cuando la Comisión publicó sus dos Comunicaciones (véase el considerando 7), como se describe a continuación.

3.1.1. Limitaciones

(68) De conformidad con la Constitución de los Estados Unidos, corresponde al presidente, en su calidad de jefe de Estado y de Gobierno y capitán general de las Fuerzas Armadas, garantizar la seguridad nacional y, por lo que respecta a la inteligencia exterior, administrar los asuntos exteriores del país (58). Si bien el Congreso está facultado para imponer limitaciones, y así lo ha hecho en diversos aspectos, el presidente podrá dirigir dentro de estos límites las actividades de los servicios de inteligencia estadounidenses, en particular mediante executive orders (decretos) o presidential directives (directivas presidenciales). Naturalmente, esto también es aplicable a los ámbitos en los que no existen orientaciones del Congreso. En la actualidad, los dos principales instrumentos jurídicos en este sentido son el Executive Order 12333 (en lo sucesivo, «EO 12333») (59) y la Presidential Policy Directive 28 (en lo sucesivo, «PPD-28»).

(69) La PPD-28, adoptada el 17 de enero de 2014, impone una serie de limitaciones a las operaciones de «inteligencia de señales» (60). Esta directiva presidencial es vinculante para los servicios de inteligencia de los Estados Unidos (61) y permanece en vigor aunque se produzcan cambios en el Gobierno estadounidense (62). La PPD-28 reviste especial importancia para los ciudadanos no estadounidenses, entre ellos los interesados de la UE. Entre otras cosas, estipula lo siguiente: a) la recopilación de inteligencia de señales se basará en un acto legislativo o en una autorización presidencial y deberá llevarse a cabo de conformidad con la Constitución de los Estados Unidos (en particular, con su Enmienda IV) y el Derecho estadounidense; b) todas las personas deben ser tratadas con dignidad y respeto, con independencia de su nacionalidad o de su lugar de residencia; c) todas las personas tienen intereses legítimos de privacidad en el tratamiento de su información personal; d) la privacidad y las libertades civiles se tendrán plenamente en cuenta en la planificación de las actividades de inteligencia de señales de los Estados Unidos; e) las actividades de inteligencia de señales de los Estados Unidos deberán, por tanto, incluir salvaguardias adecuadas con respecto a la información personal de todas las personas físicas, con independencia de su nacionalidad o su lugar de residencia.

(70) La PPD-28 dispone que la inteligencia de señales se podrá recabar exclusivamente a efectos de inteligencia exterior o contrainteligencia para apoyar misiones nacionales y ministeriales, y no para otros fines (por ejemplo, para proporcionar una ventaja competitiva a empresas estadounidenses). En este sentido, la ODNI explica que los servicios de inteligencia deberían exigir que, siempre que sea posible, la recopilación se centre en objetivos o temas específicos de inteligencia exterior mediante el empleo de discriminantes (por ejemplo, recursos específicos, términos de selección e identificadores) (63). Asimismo, las declaraciones aseguran que las decisiones acerca de la recogida de información no constituyen una facultad discrecional de cada agente de inteligencia, sino que han de basarse en las políticas y procedimientos que los servicios de inteligencia estadounidenses deben adoptar para aplicar la PPD-28 (64). Por tanto, el estudio y la determinación de los selectores adecuados se desarrolla dentro del marco global denominado National Intelligence Priorities Framework (Marco de Prioridades de Inteligencia Nacional; en lo sucesivo, «NIPF»), que garantiza que las prioridades de inteligencia sean fijadas por responsables políticos de alto nivel y revisadas periódicamente para que puedan seguir respondiendo a las amenazas reales a la seguridad nacional y tener en cuenta los posibles riesgos, inclusive en materia de privacidad (65). Sobre esta base, el personal de los servicios de inteligencia estudia e identifica términos de selección específicos que permitan recabar inteligencia exterior en función de las prioridades establecidas (66). Los términos de selección o «selectores» deben revisarse periódicamente para comprobar si siguen proporcionando inteligencia valiosa con arreglo a las prioridades (67).

(71) Además, los requisitos que se precisan en la PPD-28 de que la recopilación de información será siempre (68)«lo más adaptada posible», y que los servicios de inteligencia darán prioridad a la disponibilidad de otra información y de alternativas adecuadas y factibles (69), refleja una regla general de priorización de la recopilación selectiva frente a la recopilación indiscriminada. Según la declaración de la ODNI, garantizan, en particular, que la recopilación en bloque no es «masiva» ni «indiscriminada», y que la excepción no sustituye a la norma (70).

(72) Aunque la PPD-28 estipula que, en determinadas circunstancias, los servicios de inteligencia se ven obligados a recabar inteligencia de señales de manera indiscriminada (por ejemplo, con objeto de identificar amenazas nuevas o emergentes), les exige que concedan prioridad a las alternativas que permitan llevar a cabo actividades de inteligencia de señales selectivas (71). Así pues, la recopilación indiscriminada se autorizará únicamente cuando la recopilación selectiva mediante el empleo de discriminantes -es decir, identificadores asociados a un objetivo específico, como el correo electrónico o número de teléfono del objetivo- no pueda llevarse a cabo por motivos técnicos u operativos (72). Esto es aplicable tanto al modo en que se recaba la inteligencia de señales como al contenido propiamente dicho de la información recopilada (72).

(73) Según las declaraciones de la ODNI, incluso cuando los servicios de inteligencia no puedan utilizar identificadores específicos para especificar la recopilación, intentarán reducir la recopilación «en la mayor medida posible». Para garantizar esto, «aplicarán filtros y otras herramientas técnicas para centrar la recopilación en las instalaciones que puedan contener comunicaciones de valor para la inteligencia extranjera» (y, por tanto, darán respuesta a las exigencias de los responsables políticos de EE. UU. con arreglo al procedimiento descrito en el punto 70). Como consecuencia de ello, la recopilación indiscriminada se centrará de al menos dos maneras: En primer lugar, siempre se referirá a objetivos específicos de inteligencia extranjera (por ejemplo, adquirir inteligencia de señales sobre las actividades de un grupo terrorista que opera en una región en particular) y centrar la recopilación en las comunicaciones que posean tal nexo. Según la declaración de la ODNI, esto se refleja en el hecho de que las actividades de inteligencia de señales de Estados Unidos atañen solo a una fracción de las comunicaciones a través de Internet (73). En segundo lugar, las declaraciones de la ODNI explican que los filtros y otros instrumentos técnicos utilizados estarán concebidos para centrar la recopilación «de la forma más precisa posible» con el fin de garantizar que la cantidad de «información no pertinente» recogida sea mínima.

(74) Por último, aun cuando los Estados Unidos consideren necesaria la recopilación indiscriminada de inteligencia de señales, en las circunstancias previstas en los considerandos 70 a 73, la PPD-28 limita el uso de dicha información a una lista específica de seis fines de seguridad nacional destinados a proteger la privacidad y las libertades civiles de todas las personas, con independencia de su nacionalidad o su lugar de residencia (74). Estos fines admisibles comprenden medidas para detectar y neutralizar las amenazas que plantean el espionaje, el terrorismo, las armas de destrucción masiva y las amenazas de ciberseguridad para las Fuerzas Armadas o el personal militar, así como las amenazas delictivas transnacionales relacionadas con los otros cinco fines, y se revisarán con una periodicidad mínima anual. De las declaraciones del Gobierno estadounidense se desprende que los servicios de inteligencia han reforzado sus prácticas analíticas y sus normas para consultar la inteligencia de señales no evaluada con arreglo a estos requisitos; el empleo de consultas específicas garantiza que únicamente se presenten a los analistas, para su examen, los elementos que se considera que podrían aportar información valiosa (75).

(75) Estas limitaciones resultan de especial importancia en relación con los datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU., en particular cuando la recopilación de tales datos deba tener lugar fuera de los Estados Unidos, incluso durante su tránsito por los cables transatlánticos desde la Unión a Estados Unidos. Tal como han confirmado las autoridades estadounidenses en declaraciones de la ODNI, esta recopilación está sujeta a las limitaciones y salvaguardias establecidas en el marco, que incluyen las previstas en la PPD-28 (76).

(76) Aunque no se formule en tales términos jurídicos, estos principios captan la esencia de los principios de necesidad y proporcionalidad. Se concede una clara prioridad a la recopilación selectiva, mientras que la recopilación indiscriminada se limita a situaciones (excepcionales) en las que no es posible llevar a cabo una selectiva por motivos técnicos u operativos. Aun cuando no pueda evitarse la recopilación indiscriminada, el acceso a tales datos y su posterior utilización se limita estrictamente a fines legítimos y específicos de seguridad nacional (77).

(77) Al estar contenidos en una directiva adoptada por el presidente en calidad de Jefe de Gobierno, estos requisitos vinculan a la totalidad de los servicios de inteligencia y se han aplicado asimismo a través de una serie de normas y procedimientos institucionales que incorporan los principios generales a las instrucciones específicas aplicables a sus operaciones cotidianas. Por otro lado, aunque el Congreso no está directamente vinculado por la PPD-28, también ha adoptado medidas para garantizar que la recopilación de datos personales y el acceso a los mismos en los Estados Unidos sean de carácter selectivo en lugar de «generalizados».

(78) De la información disponible, incluidas las declaraciones recibidas del Gobierno estadounidense, se desprende que, una vez que los datos se hayan transferido a entidades ubicadas en los Estados Unidos y autocertificadas en el marco del Escudo de la privacidad UE-EE. UU., los servicios de inteligencia estadounidenses solo (78) podrán recabar datos personales si su petición cumple la Foreign Intelligence Surveillance Act (Ley de Vigilancia de Inteligencia Exterior; en lo sucesivo, «FISA») o procede del Federal Bureau of Investigation (en lo sucesivo, «FBI»), sobre la base de una denominada National Security Letter (carta de seguridad nacional; en lo sucesivo, «NSL») (79). Existen diversas bases jurídicas en virtud de la FISA que pueden utilizarse para recopilar (y posteriormente tratar) los datos personales de interesados de la UE que han sido transferidos en el marco del Escudo de la privacidad UE-EE. UU. Los dos instrumentos fundamentales, aparte del artículo 104 de la FISA (80) que cubre la vigilancia electrónica individualizada convencional y el artículo 402 de la FISA (81) sobre la instalación de dispositivos de identificación y registro de llamadas entrantes (trap and trace devices) o salientes (pen registers), son el artículo 501 [antiguo artículo 215 de la USA Patriot Act (Ley Patriótica de los Estados Unidos)] y el artículo 702 de la FISA (82).

(79) A este respecto, la USA Freedom Act (Ley de Libertad de los Estados Unidos), adoptada el 2 de junio de 2015, prohíbe la recopilación indiscriminada de documentos en virtud del artículo 402 de la FISA (dispositivos de identificación y registro de llamadas entrantes y salientes), del artículo 501 de la FISA (antiguo artículo 215 de la USA Patriot Act) (83) y mediante la utilización de NSL y, en su lugar, exige el empleo de «términos de selección» específicos (84).

(80) Aunque la FISA contiene otras base jurídicas que permiten emprender actividades de inteligencia nacional, incluida la inteligencia de señales, de la evaluación de la Comisión se desprende que, en lo concerniente a los datos personales transferidos en el marco del Escudo de la privacidad UE-EE. UU., tales bases limitan igualmente las injerencias de las autoridades públicas a una recopilación y un acceso selectivos.

(81) Ello es evidente en el caso de la vigilancia electrónica individualizada convencional en virtud del artículo 104 de la FISA (85). En cuanto al artículo 702 de la FISA, que sirve de base para dos importantes programas de inteligencia gestionados por los servicios de inteligencia estadounidenses (a saber, PRISM y Upstream), establece que las búsquedas se lleven a cabo de manera selectiva mediante la utilización de selectores individuales que identifiquen recursos de comunicaciones específicos, como la dirección de correo electrónico o el número de teléfono del objetivo, pero no palabras clave ni los nombres de personas seleccionadas (86). Por tanto, tal como señala el Privacy and Civil Liberties Oversight Board (Consejo de Supervisión de la Privacidad y de las Libertades Civiles de los Estados Unidos (en lo sucesivo «PCLOB»), la vigilancia en virtud del artículo 702 se centra íntegramente en ciudadanos no estadounidenses específicos sobre los que se han efectuado determinaciones individualizadas (87). Debido a una cláusula de extinción, el artículo 702 de la FISA deberá someterse a revisión en 2017, momento en el que la Comisión tendrá que evaluar de nuevo las salvaguardias de que disponen los interesados de la UE.

(82) Por otro lado, el Gobierno de los Estados Unidos ha asegurado de forma explícita a la Comisión Europea que los servicios de inteligencia estadounidenses no desarrollan actividades de vigilancia indiscriminada de los ciudadanos europeos de a pie ni de ninguna otra persona (88). Por lo que respecta a los datos personales recopilados dentro de los Estados Unidos, dicha afirmación se apoya en pruebas empíricas que demuestran que las solicitudes de acceso presentadas a través de NSL y en virtud de la FISA, tanto a título individual como colectivo, solo se refieren a un número relativamente reducido de objetivos en comparación con el flujo total de datos en Internet (89).

(83) En lo concerniente al acceso a los datos recopilados y a la seguridad de los datos, la PPD-28 dispone que el acceso se limitará al personal autorizado que necesite conocer esa información para desempeñar sus funciones y que la información personal deberá tratarse y almacenarse en condiciones que permitan una adecuada protección e impidan el acceso de personas no autorizadas, de conformidad con las salvaguardias aplicables a la información delicada. El personal de los servicios de inteligencia recibe una formación pertinente y adecuada en relación con los principios establecidos en la PPD-28 (90).

(84) Por último, en lo referente al almacenamiento y a la difusión ulterior de los datos personales de interesados de la UE recopilados por los servicios de inteligencia de los Estados Unidos, la PPD-28 establece que todas las personas (incluidos los ciudadanos no estadounidenses) deberían ser tratados con dignidad y respeto, que todas las personas tienen intereses legítimos de privacidad en el tratamiento de su información personal y que, por tanto, los servicios de inteligencia han de elaborar políticas que ofrezcan unas salvaguardias adecuadas respecto de tales datos y hayan sido razonablemente concebidas para minimizar su difusión y conservación (91).

(85) El Gobierno de los Estados Unidos ha explicado que este requisito de razonabilidad implica que los servicios de inteligencia no tendrán que adoptar «cualquier medida teóricamente posible», sino que deberán encontrar el equilibrio entre sus esfuerzos para proteger los intereses legítimos en materia de privacidad y libertades civiles, por un lado, y las necesidades prácticas de las actividades de inteligencia de señales, por otro (92). En este sentido, los ciudadanos no estadounidenses recibirán el mismo trato que los ciudadanos estadounidenses, de conformidad con los procedimientos aprobados por el fiscal general (93).

(86) Con arreglo a estas normas, la conservación se limita, por lo general, a un máximo de cinco años, salvo que exista una determinación específica en la legislación o que el director de Inteligencia Nacional adopte una determinación expresa, previa evaluación minuciosa de los problemas de privacidad —teniendo en cuenta los puntos de vista del responsable de Protección de las Libertades Civiles de la ODNI, así como de los funcionarios competentes en materia de privacidad y libertades civiles de los distintos servicios—, de que la continuación de la conservación redunda en interés de la seguridad nacional (94). La difusión se limita a aquellos casos en que la información sea pertinente a efectos del objetivo fundamental de la recopilación y responda, por tanto, a un requisito autorizado de inteligencia exterior o de aplicación de la ley (95).

(87) El Gobierno de los Estados Unidos garantiza que no podrá difundirse información personal por la única razón de que la persona interesada no sea de nacionalidad estadounidense y, en este sentido, señala que «no procederá considerar la inteligencia de señales sobre las actividades cotidianas de una persona extranjera inteligencia exterior que pueda difundirse o conservarse de forma permanente por ese mero hecho, a menos que responda de otro modo a un requisito de inteligencia exterior autorizado» (96).

(88) Por todo lo anterior, la Comisión concluye que en los Estados Unidos existen normas destinadas a garantizar que las posibles injerencias cometidas a efectos de seguridad nacional en los derechos fundamentales de las personas cuyos datos personales se transfieran desde la Unión a los Estados Unidos en el marco del Escudo de la privacidad UE-EE. UU. se limiten a lo estrictamente necesario para alcanzar el objetivo legítimo perseguido.

(89) Según ha puesto de manifiesto el análisis precedente, la normativa estadounidense garantiza que las medidas de vigilancia solo podrán emplearse para obtener información de inteligencia exterior, lo que es un objetivo legítimo (97), y ser lo más adaptadas posible. En particular, la recopilación indiscriminada solo podrá autorizarse excepcionalmente cuando la recogida selectiva no sea viable, e irá acompañada de salvaguardias adicionales para reducir al mínimo la cantidad de datos recogidos y en su ulterior acceso (que deberá ser selectivo y permitirse únicamente para fines específicos).

(90) En la evaluación de la Comisión, esto es conforme con la norma establecida por el Tribunal de Justicia en la sentencia Schrems, según la cual una legislación que implique una injerencia en los derechos fundamentales garantizados por los artículos 7 y 8 de la Carta debe imponer unas «exigencias mínimas» (98) y «no se limita a lo estrictamente necesario una normativa que autoriza de forma generalizada la conservación de la totalidad de los datos personales de todas las personas cuyos datos se hayan transferido desde la Unión a Estados Unidos, sin establecer ninguna diferenciación, limitación o excepción en función del objetivo perseguido y sin prever ningún criterio objetivo que permita circunscribir el acceso de las autoridades públicas a los datos y su utilización posterior a fines específicos, estrictamente limitados y propios para justificar la injerencia que constituyen tanto el acceso a esos datos como su utilización» (99). Tampoco habrá una recopilación y almacenamiento de datos ilimitados de todas las personas sin ninguna limitación, ni acceso ilimitado. Por otra parte, las declaraciones facilitadas a la Comisión, incluida la garantía de que las actividades de inteligencia de señales de los Estados Unidos afectan solo a una fracción de las comunicaciones a través de Internet, excluye que se pueda acceder «de forma generalizada» (100) al contenido de las comunicaciones electrónicas.

3.1.2. Tutela judicial efectiva

(91) La Comisión ha evaluado tanto los mecanismos de supervisión existentes en los Estados Unidos con respecto a las posibles injerencias de los servicios de inteligencia estadounidenses en los datos personales transferidos a dicho país como las vías de recurso individual a disposición de los interesados de la UE.

Supervisión

(92) Los servicios de inteligencia de los Estados Unidos están sujetos a diversos mecanismos de revisión y supervisión que corresponden a los tres poderes del Estado. Aquí se incluyen los órganos internos y externos del poder ejecutivo, una serie de comisiones del Congreso, así como la supervisión judicial, esto último sobre todo en relación con las actividades en el marco de la Ley de Vigilancia de Inteligencia Exterior.

(93) En primer lugar, las actividades de inteligencia llevadas a cabo por las autoridades estadounidenses son objeto de una amplia supervisión por parte del poder ejecutivo.

(94) Con arreglo al artículo 4, letra a), inciso iv), de la PPD-28, las políticas y procedimientos de los servicios de inteligencia comprenderán las medidas oportunas —entre ellas, auditorías periódicas— para facilitar la supervisión de la aplicación de las salvaguardias que protegen la información personal (101).

(95) Se han establecido múltiples niveles de supervisión en este ámbito, entre los que figuran los funcionarios de libertades civiles o de privacidad, los inspectores generales, la Oficina de Libertades Civiles y Privacidad de la ODNI, el PCLOB y la Junta de Supervisión de Inteligencia del Presidente. Estos mecanismos de supervisión reciben el apoyo del personal especializado presente en todas las agencias (102).

(96) Tal como expone el Gobierno de los Estados Unidos (103), existen funcionarios de libertades civiles o de privacidad con responsabilidades de supervisión en diversos servicios de inteligencia y departamentos que desempeñan labores de inteligencia (104). Aunque las facultades específicas de estos funcionarios pueden variar ligeramente en función del acto de autorización correspondiente, suelen incluir la supervisión de procedimientos para garantizar que el respectivo departamento o servicio tenga debidamente en cuenta las cuestiones relacionadas con la privacidad y las libertades civiles y haya instaurado los procedimientos adecuados para atender las reclamaciones de las personas que consideren que se han vulnerado su privacidad o sus libertades civiles (y, en ocasiones, como en el caso de la ODNI, pueden estar facultados para investigar reclamaciones (105)). Por su parte, el jefe del departamento o servicio ha de procurar que el funcionario reciba toda la información y tenga acceso a todo el material necesario para el ejercicio de sus funciones. Los funcionarios de libertades civiles y privacidad presentan informes periódicos al Congreso y al PCLOB, entre otros acerca del número y la naturaleza de las reclamaciones recibidas por el departamento o servicio, así como un resumen del curso dado a las mismas, los controles e investigaciones llevados a cabo y las repercusiones de las actividades desarrolladas por el funcionario (106). De acuerdo con la evaluación realizada por las autoridades nacionales de protección de datos, el control interno que ejercen los funcionarios de libertades civiles o de privacidad puede considerarse «fuerte», aunque en su opinión no cumplen el grado necesario de independencia (107).

(97) Además, cada servicio de inteligencia dispone de su propio inspector general, que se encarga, entre otras cosas, de supervisar las actividades de inteligencia exterior (108). En el caso de la ODNI, existe una Oficina del Inspector General con amplias competencias sobre el conjunto de servicios de inteligencia y facultada para investigar reclamaciones o información relativa a presuntas conductas ilícitas o abusos de autoridad, en relación con los programas y actividades de la ODNI o de los servicios de inteligencia (109). Los inspectores generales son figuras jurídicamente independientes (110) que se encargan de efectuar auditorías e investigaciones con respecto a los programas y operaciones emprendidos por el servicio correspondiente con fines de inteligencia nacional, incluidos el abuso o incumplimiento de la ley (111). Disponen de acceso autorizado a todos los registros, informes, auditorías, exámenes, documentos, escritos, recomendaciones u otro material pertinente, previa citación si es preciso, y pueden tomar declaración (112). Aunque los inspectores generales solo pueden formular recomendaciones no vinculantes de medidas correctoras, sus informes, incluidos los relativos al seguimiento (o a su ausencia), se ponen a disposición del público y se transmiten asimismo al Congreso, que puede ejercer su función de supervisión a este respecto (113).

(98) Por otro lado, el Privacy and Civil Liberties Oversight Board (Consejo de Supervisión de la Privacidad y de las Libertades Civiles), un órgano independiente (114) dentro del poder ejecutivo e integrado por un consejo bipartidista de cinco miembros (115) nombrados por el presidente con la aprobación del Senado, asume responsabilidades en el ámbito de la elaboración y aplicación de las políticas de lucha contra el terrorismo con miras a proteger la privacidad y las libertades civiles. En su control de la actividad de los servicios de inteligencia, podrá tener acceso a todos los registros, informes, auditorías, exámenes, documentos, escritos y recomendaciones, incluso a la información clasificada, así como realizar interrogatorios y tomar declaración. También recibe informes de los funcionarios de libertades civiles y privacidad de diversos departamentos y servicios federales (116), a los que puede formular recomendaciones, e informa periódicamente a las comisiones del Congreso y al presidente (117). El PCLOB se encarga asimismo de elaborar, dentro de los límites de su mandato, un informe de evaluación de la aplicación de la PPD-28.

(99) Por último, los mecanismos de supervisión anteriormente mencionados se complementan con la Intelligence Oversight Board (Junta de Supervisión de Inteligencia) del presidente, constituida en el seno de la Junta Asesora de Inteligencia del presidente, que supervisa el cumplimiento de la Constitución y de las demás normas pertinentes por parte de los servicios de inteligencia de los Estados Unidos.

(100) A fin de facilitar la supervisión, se insta a los servicios de inteligencia a que diseñen sistemas de información que permitan el seguimiento, el registro y la inspección de las consultas u otras búsquedas de información personal (118). Los organismos de supervisión y cumplimiento efectuarán controles periódicos de las prácticas de los servicios de inteligencia para proteger la información personal contenida en la inteligencia de señales y del cumplimiento de tales procedimientos de dichos servicios (119).

(101) Estas funciones de supervisión se encuentran asimismo respaldadas por amplios requisitos de notificación con respecto a los posibles incumplimientos. En particular, los procedimientos de los servicios de inteligencia deben garantizar que, cuando surja un problema importante de cumplimiento que afecte a información personal recabada mediante inteligencia de señales acerca de cualquier ciudadano, con independencia de su nacionalidad, deberá ser notificado cuanto antes al jefe del servicio en cuestión, que, a su vez, informará al director de Inteligencia Nacional con el fin de que este último, en virtud de la PPD-28, determine si es necesario adoptar medidas correctoras al respecto (120). Además, en virtud del EO 12333, todos los servicios de inteligencia tienen la obligación de comunicar los incumplimientos detectados a la Intelligence Oversight Board (121). Estos mecanismos garantizan que el problema se aborde al más alto nivel en el ámbito de los servicios de inteligencia. Cuando el problema afecta a un ciudadano no estadounidense, el director de Inteligencia Nacional, en consulta con el secretario de Estado y el jefe del departamento o servicio notificante, determinará las medidas que deben adoptarse para informar al Gobierno extranjero pertinente, sin perjuicio de la protección de las fuentes y métodos y del personal de los Estados Unidos (122).

(102) En segundo lugar, aparte de estos mecanismos de supervisión dentro del poder ejecutivo, el Congreso de los Estados Unidos y, en particular, las comisiones judiciales y de inteligencia de la Cámara de Representantes y del Senado, poseen competencias de supervisión sobre todas las actividades de inteligencia exterior del país, incluidas las relacionadas con la inteligencia de señales. En virtud de la Ley de Seguridad Nacional, el presidente garantizará que las comisiones de inteligencia del Congreso reciban constantemente información completa y actualizada sobre las actividades de inteligencia de los Estados Unidos, incluida toda actividad significativa prevista con arreglo a lo dispuesto en el subcapítulo correspondiente (123). Asimismo, la citada ley dispone que el presidente velará por que se notifique cuanto antes a las comisiones de inteligencia del Congreso toda actividad de inteligencia ilegal, así como toda medida correctora que se haya adoptado o se prevea adoptar con respecto a dicha actividad ilegal (124). Los miembros de dichas comisiones disponen de acceso a información clasificada, así como a los métodos y programas de inteligencia (125).

(103) Posteriormente, se ha ido ampliando la legislación y se han perfeccionado los requisitos de notificación, tanto en lo concerniente a los servicios de inteligencia, como a los inspectores generales pertinentes y al fiscal general. Por ejemplo, la FISA exige al fiscal general que «informe plenamente» a las comisiones judiciales y de inteligencia del Senado y de la Cámara de Representantes acerca de las actividades llevadas a cabo por el Gobierno en virtud de determinados artículos de la FISA (126). Por otro lado, dispone que el Gobierno proporcione a las comisiones del Congreso copias de todas las resoluciones, autos o dictámenes del Foreign Intelligence Surveillance Court o del Foreign Intelligence Surveillance Court of Review que contengan interpretaciones significativas de las disposiciones de la FISA. En particular, por lo que respecta a la vigilancia en virtud del artículo 702 de la FISA, la supervisión se ejerce mediante la presentación de los informes prescritos por la legislación a las comisiones judiciales y de inteligencia, así como mediante la celebración de frecuentes reuniones informativas y audiencias. Entre los documentos presentados figuran un informe semestral del fiscal general en el que se describe la aplicación del artículo 702 de la FISA, acompañado de documentos justificativos, que incluyen, en particular, los informes de cumplimiento del Departamento de Justicia y de la ODNI y una descripción de los incumplimientos detectados (127), así como una evaluación semestral elaborada aparte por el fiscal general y el director de Inteligencia Nacional para documentar el cumplimiento de los procedimientos de fijación de objetivos y de minimización, incluida la observancia de los procedimientos concebidos para garantizar que la recopilación responda a una finalidad legítima de inteligencia exterior (128). El Congreso recibe también informes de los inspectores generales facultados para evaluar el cumplimiento de los servicios con los procedimientos de fijación de objetivos y de minimización y con las directrices del fiscal general.

(104) De conformidad con la USA Freedom Act de 2015, el Gobierno de los Estados Unidos debe facilitar cada año al Congreso (y al público) el número de mandamientos y directivas solicitados o recibidos en virtud de la FISA, así como estimaciones del número de ciudadanos estadounidenses y no estadounidenses sometidos a vigilancia, entre otros datos (129). La citada ley impone asimismo la obligación de divulgar el número de NSL emitidas tanto con respecto a ciudadanos estadounidenses como no estadounidenses (si bien, al mismo tiempo, permite a los destinatarios de mandamientos y certificaciones en virtud de la FISA y de solicitudes en forma de NSL presentar informes de transparencia en determinadas circunstancias) (130).

(105) En tercer lugar, las actividades de inteligencia desarrolladas por los poderes públicos de los Estados Unidos en virtud de la FISA pueden ser objeto de examen y, en algunos casos, estar sujetas a la autorización previa del FISA Court (Tribunal de la FISA; en lo sucesivo, «FISC») (131), un órgano jurisdiccional independiente (132) cuyas resoluciones pueden recurrirse ante el Foreign Intelligence Surveillance Court of Review (Tribunal de Apelación de Vigilancia de Inteligencia Exterior; en lo sucesivo, «FISCR») (133) y, en última instancia, ante el Tribunal Supremo de los Estados Unidos (134). En el supuesto de autorización previa, los servicios solicitantes (FBI, NSA, CIA, etc.) tendrán que presentar un proyecto de solicitud a los juristas de la División de Seguridad Nacional del Departamento de Justicia, que lo estudiarán y, cuando proceda, solicitarán información complementaria (135). Una vez finalizada la solicitud, habrá que obtener el visto bueno del fiscal general, el vicefiscal general o el fiscal general adjunto de Seguridad Nacional (136). A continuación, el Departamento de Justicia presentará la solicitud ante el FISC, que la evaluará y determinará de manera preliminar el modo de proceder (137). En caso de celebrarse una vista, el FISC está facultado para tomar declaración, incluso a expertos en la materia (138).

(106) El FISC (y el FISCR) cuenta con el apoyo de un grupo permanente de cinco expertos en materia de seguridad nacional y libertades civiles (139). El tribunal designará a uno de estos expertos como amicus curiae para que asista en el examen de cualquier solicitud de mandamiento o revisión que, a juicio del tribunal, presente una interpretación nueva o significativa del Derecho, salvo que el tribunal resuelva que no procede tal designación (140). Ello garantizará, en particular, que la apreciación del tribunal tenga debidamente en cuenta todas las consideraciones relativas a la privacidad. El tribunal también podrá designar amicus curiae, incluso para la prestación de asesoramiento técnico, a otras personas o entidades cuando lo estime oportuno, o autorizar, previa solicitud, la presentación de un escrito en calidad de amicus curiae por parte de cualquier persona o entidad (141).

(107) La supervisión del FISC con respecto a los dos fundamentos jurídicos de vigilancia en virtud de la FISA que revisten mayor importancia para las transferencias de datos efectuadas en el marco del Escudo de la privacidad UE-EE. UU. varía de uno a otro.

(108) En virtud del artículo 501 de la FISA (142), que autoriza la recopilación de cualesquiera elementos tangibles, entre ellos libros, registros, escritos, documentos y otros efectos, la solicitud presentada al FISC debe contener una exposición de los hechos que demuestren la existencia de motivos fundados para pensar que tales elementos resultan pertinentes en el contexto de una investigación autorizada (distinta de una evaluación de amenazas) llevada a cabo con el fin de recabar información de inteligencia exterior que no se refiera a un ciudadano estadounidense o brindar protección contra el terrorismo internacional o actividades de inteligencia clandestinas. Por otra parte, la solicitud ha de contener una lista de los procedimientos de minimización adoptados por el fiscal general en lo referente a la conservación y difusión de la inteligencia recabada (143).

(109) En cambio, con arreglo al artículo 702 de la FISA (144), el FISC no autoriza medidas de vigilancia individuales, sino programas de vigilancia (como PRISM o Upstream) sobre la base de certificaciones anuales elaboradas por el fiscal general y el director de Inteligencia Nacional. El artículo 702 de la FISA permite fijar como objetivos de la adquisición de información de inteligencia exterior a personas de las que se tengan motivos fundados para pensar que se encuentran ubicadas fuera de los Estados Unidos (145). Estos objetivos son fijados por la NSA en dos fases: en primer lugar, los analistas de la NSA identificarán a los ciudadanos no estadounidenses ubicados en el extranjero cuya vigilancia vaya a conducir, con arreglo a la valoración de los analistas, a la obtención de la inteligencia exterior pertinente especificada en la certificación; en segundo lugar, una vez que estas personas específicas han sido identificadas y aprobadas como objetivos a través de un amplio mecanismo de examen dentro de la NSA (146), se asignan (es decir, se desarrollan y aplican) una serie de selectores que identifican los recursos de comunicación (por ejemplo, direcciones de correo electrónico) utilizados por dichas personas (147). Según se indica, las certificaciones que han de recibir el visto bueno del FISC no contienen información sobre las personas objetivo propiamente dichas, sino que identifican categorías de información de inteligencia exterior (148). Aunque el FISC no valora —sobre la base de la existencia de indicios razonables o de cualquier otra norma— si los objetivos fijados son adecuados para recabar información de inteligencia exterior (149), su control abarca la condición de que uno de los principales fines de la recopilación de datos sea obtener ese tipo de información (150). De hecho, el artículo 702 de la FISA permite a la NSA recabar comunicaciones de ciudadanos no estadounidenses ubicados fuera de los Estados Unidos únicamente cuando existan motivos fundados para pensar que un determinado medio de comunicación está siendo utilizado para transmitir información de inteligencia exterior (por ejemplo, relacionada con el terrorismo internacional, la proliferación de armas nucleares o actividades informáticas hostiles). Las determinaciones a este respecto son susceptibles de control jurisdiccional (151). Las certificaciones deben contemplar asimismo los procedimientos de fijación de objetivos y de minimización (152). El fiscal general y el director de Inteligencia Nacional verifican el cumplimiento y los servicios tienen la obligación de notificar cualesquiera incumplimientos detectados al FISC (153) (así como al Congreso y la Junta de Supervisión de Inteligencia del Presidente), que podrá modificar la autorización en función de estos (154).

(110) Asimismo, con vistas a mejorar la eficacia de la supervisión llevada a cabo por el FISC, el Gobierno de los Estados Unidos ha accedido a poner en práctica la recomendación del PCLOB de proporcionar al FISC documentación sobre las decisiones de fijación de objetivos en virtud del artículo 702, incluida una muestra aleatoria de hojas de asignación de selectores, de modo que el FISC pueda evaluar el cumplimiento en la práctica de la finalidad de inteligencia exterior exigida (155). Al mismo tiempo, el Gobierno estadounidense accedió también a revisar los procedimientos de fijación de objetivos de la NSA al objeto de documentar mejor los motivos de inteligencia exterior en que se basan las decisiones de fijación de objetivos, y ha adoptado una serie de medidas a este respecto (156).

Recursos individuales

(111) El Derecho estadounidense pone una serie de vías de recurso a disposición de los interesados de la UE que alberguen dudas sobre si sus datos personales han sido tratados (entre otros, mediante su recopilación o el acceso a los mismos) por los servicios de inteligencia de los Estados Unidos y, de ser así, si se han respetado las limitaciones previstas en tal Derecho. Estas se refieren básicamente a tres ámbitos: las injerencias previstas en la FISA; el acceso intencionado y no autorizado a datos personales por funcionarios públicos; y el acceso a información en virtud de la Freedom of Information Act (Ley de Libertad de Información; en lo sucesivo, «FOIA») (157).

(112) En primer lugar, la FISA contempla una serie de recursos, también a disposición de los ciudadanos no estadounidenses, para impugnar la vigilancia electrónica ilegal (158). Esto incluye la posibilidad para las personas de interponer una demanda de indemnización por daños y perjuicios económicos contra los Estados Unidos cuando se haya utilizado o divulgado información sobre ellas de manera intencionada y no autorizada (159); de demandar a funcionarios públicos estadounidenses a título personal («con apariencia de legalidad») por daños y perjuicios económicos (160); y de impugnar la legalidad de la vigilancia (y solicitar la supresión de la información) en el supuesto de que el Gobierno de los Estados Unidos pretenda utilizar o divulgar cualquier información obtenida o derivada de la vigilancia electrónica en contra del interesado en diligencias judiciales o administrativas emprendidas en dicho país (161).

(113) En segundo lugar, el Gobierno estadounidense indicó a la Comisión una serie de vías adicionales que los interesados de la UE podían utilizar para presentar un recurso contra determinados funcionarios por el acceso no autorizado a datos personales y la utilización de estos por parte el Gobierno, incluso con presuntos fines de seguridad nacional [a saber, la Computer Fraud and Abuse Act (Ley de Abuso y Fraude Informático) (162); la Electronic Communications Privacy Act (Ley de Privacidad de las Comunicaciones Electrónicas) (163); y la Right to Financial Privacy Act (Ley del Derecho a la Confidencialidad Financiera) (164)]. Todos estos fundamentos jurídicos para incoar un procedimiento se refieren a datos, objetivos o tipos de acceso específicos (por ejemplo, el acceso remoto a un ordenador a través de Internet) y pueden invocarse en determinadas circunstancias (tales como la comisión de actos intencionados o premeditados, o actos al margen de las propias funciones, así como el padecimiento de daños) (165). La Administrative Procedure Act (Ley de procedimiento administrativo) ofrece una posibilidad de recurso más general (título 5, artículo 702 del USC) según la cual toda persona que sufra un perjuicio a causa de actuaciones de una agencia o que se haya visto adversamente afectada o perjudicada por la acción de una agencia, tiene derecho a interponer un recurso judicial. Esto incluye la posibilidad de solicitar al órgano jurisdiccional que declare ilegales y anule la actuación, los resultados y las conclusiones de la agencia que hayan resultado ser arbitrarios, caprichosos, un abuso de la facultad de apreciación, o de otro modo no conformes a Derecho (166).

(114) Por último, el Gobierno de los Estados Unidos ha señalado la FOIA como instrumento a disposición de los ciudadanos no estadounidenses para solicitar acceso a los registros que obran en poder de los servicios federales, en particular cuando estos contengan datos personales del interesado (167). Tal como está planteada, la FOIA no ofrece una vía de recurso individual propiamente dicha contra las injerencias en los datos personales, si bien podría, en principio, permitir a los interesados obtener acceso a la información pertinente que poseen los servicios de inteligencia nacional. Incluso en este sentido, las posibilidades parecen limitadas, ya que dichos servicios pueden retener la información comprendida en determinadas excepciones previstas, entre ellas el acceso a información de seguridad nacional clasificada y a información relativa a investigaciones policiales (168). Con todo, las personas pueden impugnar el recurso a tales excepciones por parte de los servicios de inteligencia nacional y solicitar procedimientos tanto de control administrativo como de control jurisdiccional.

(115) Si bien las personas, incluidos los interesados de la UE, disponen, por tanto, de una serie de vías de recurso cuando han sido objeto de vigilancia (electrónica) no autorizada a efectos de seguridad nacional, también es evidente que no están cubiertas todas las bases jurídicas que pueden invocar los servicios de inteligencia estadounidenses (por ejemplo, el EO 12333). Además, aunque los ciudadanos no estadounidenses dispongan, en principio, de la posibilidad de recurso jurisdiccional, como en el caso de la vigilancia en virtud de la FISA, los medios de acción previstos son limitados (169) y las demandas interpuestas por personas físicas (incluidos los ciudadanos estadounidenses) se declararán improcedentes cuando estas no puedan demostrar su legitimación (170), lo que restringe el acceso a los órganos jurisdiccionales ordinarios (171).

(116) Con miras a proporcionar una vía complementaria de recurso accesible a todos los interesados de la UE, el Gobierno de los Estados Unidos ha decidido crear una nueva figura, a saber, el Defensor del Pueblo, tal como se describe en la carta del Secretario de Estado a la Comisión, contenida en el ane