El 2 de febrero de 2016, tras dos años de intensas negociaciones, la UE y los EE.UU. llegaron a un acuerdo político sobre el nuevo marco UE-EE.UU., el Escudo de la privacidad. Este nuevo Acuerdo contiene nuevas salvaguardias importantes y ofrecerá un alto nivel de protección de los derechos fundamentales de los ciudadanos de la UE. El Acuerdo proporcionará la necesaria seguridad jurídica a las empresas de ambos lados del Atlántico que deseen mantener relaciones comerciales. También supondrá un nuevo impulso para la colaboración transatlántica.

Tras la conclusión de las negociaciones con los Estados Unidos, la Comisión presentará el nuevo acuerdo al «Grupo de Trabajo del artículo 29» (que comprende las APD de la UE) para que emita un dictamen sobre el nivel de protección ofrecido. Además, la decisión de adecuación se someterá al procedimiento de comitología antes de que se adopte. Se consultará también al Supervisor Europeo de Protección de Datos (SEPD).

3.2 ¿Qué ha cambiado?

El Escudo de la privacidad UE-EE.UU. es una respuesta contundente y efectiva tanto a las 13 recomendaciones de la Comisión como a la sentencia Schrems. Contiene varias mejoras importantes, en comparación con el anterior marco, con respecto a los compromisos que deben suscribir las empresas estadounidenses. También contiene nuevos e importantes compromisos y explicaciones detalladas de la legislación estadounidense y de las prácticas de las autoridades de ese país. A diferencia del mecanismo anterior, el Escudo de la privacidad no abarca solo compromisos en el ámbito comercial, sino también, de forma significativa y por primera vez en las relaciones entre la UE y los Estados Unidos, en el ámbito del acceso a los datos personales por parte de las autoridades públicas, incluso con fines de seguridad nacional. Se trata de un elemento crucial y necesario, a la luz de la jurisprudencia del Tribunal, para restablecer la confianza en las relaciones transatlánticas tras las revelaciones sobre las medidas de vigilancia.

Los logros más importantes de este nuevo acuerdo pueden clasificarse en cuatro categorías principales:

En primer lugar, obligaciones fuertes para las empresas y un control riguroso de su aplicación. El nuevo acuerdo será más transparente y contendrá mecanismos eficaces de supervisión para garantizar que las empresas aplican las normas a las que están legalmente obligadas. Las empresas estadounidenses que quieran importar datos personales de Europa con arreglo al Escudo de la privacidad deberán someterse a rigurosas obligaciones sobre cómo se efectúa el tratamiento de datos de carácter personal y sobre cómo se garantizan los derechos individuales. Este enfoque supone condiciones más restrictivas y una mayor responsabilidad para las empresas acogidas al Escudo de la privacidad que transfieran datos de la UE, por ejemplo en actividades de subtratamiento, a terceras partes no incluidas en el marco, ya sea en los EE.UU. o en otros terceros países («transferencias ulteriores»). En cuanto a la supervisión, el Departamento de Comercio de los Estados Unidos se ha comprometido a efectuar un seguimiento riguroso y periódico de la manera en que las empresas cumplan sus compromisos y a descubrir y apartar a aquellas empresas que pretendan beneficiarse del régimen sin cumplir las condiciones que impone la adhesión. Los compromisos de las empresas son jurídicamente vinculantes y legalmente exigibles con arreglo a la legislación de los EE.UU. por la Comisión Federal de Comercio y las empresas que no los cumplan se enfrentarán a severas sanciones.

En segundo lugar, salvaguardias y límites claros con respecto al acceso por parte de la administración estadounidense. Por primera vez, el Gobierno estadounidense, a través del Departamento de Justicia y de la Oficina del Director de Inteligencia Nacional, en tanto que organismo encargado de supervisar la totalidad de servicios de inteligencia de los Estados Unidos, ha ofrecido a la UE garantías por escrito de que el acceso de las autoridades públicas a efectos de aplicación de la ley, seguridad nacional y otros fines de interés público estará sujeto a limitaciones, salvaguardias y mecanismos de supervisión. Los EE.UU. también crearán un nuevo mecanismo de recurso para los ciudadanos de la UE cuyos datos se traten en relación con la seguridad nacional, mediante un Defensor del Pueblo independiente de las autoridades nacionales de seguridad. El Defensor del Pueblo realizará un seguimiento de las quejas y consultas de los ciudadanos europeos con respecto al acceso por razones de seguridad nacional y tendrá que confirmar, a quienes hayan presentado una denuncia, que se ha cumplido la normativa o se han subsanado los posibles incumplimientos. Se trata de un cambio importante que se aplicará no solo a las transferencias bajo el Escudo de la privacidad, sino también a todas las transferencias a los Estados Unidos de datos personales con fines comerciales, independientemente de la base utilizada para transferir los datos.

En tercer lugar, una protección eficaz del derecho a la privacidad de los ciudadanos de la UE con varias posibilidades de recurso. Cualquier ciudadano que en Europa considere que sus datos han sido utilizados indebidamente con arreglo al nuevo acuerdo dispondrá de varias vías, accesibles y asequibles, para obtener una reparación, incluida la gratuidad de los organismos de resolución alternativa de litigios. Las empresas se comprometen a responder a las reclamaciones en un plazo determinado. Además, cualquier empresa que procese datos sobre recursos humanos de Europa tendrá que comprometerse a dar cumplimiento a las decisiones de la APD competente de la UE; otras empresas pueden contraer el mismo compromiso con carácter voluntario. Los ciudadanos también pueden recurrir a la autoridad de protección de datos de su país, que contará con un procedimiento formalizado para remitir quejas al Departamento de Comercio y a la Comisión Federal de Comercio para facilitar la investigación y resolución de la reclamación en un plazo razonable. Si el asunto no logra resolverse por estas vías, los ciudadanos podrán recurrir, en última instancia, al panel del Escudo de la privacidad, un mecanismo de resolución de litigios que puede tomar decisiones vinculantes y aplicables con respecto a las empresas de los EE.UU. acogidas al Escudo de la privacidad. Además, las APD de la UE podrán proporcionar asistencia a los ciudadanos para preparar su demanda. Tal como se ha mencionado, para las reclamaciones relativas a posibles accesos por parte de las autoridades de inteligencia nacional, se creará un nuevo Defensor del Pueblo, que ofrecerá vías de recurso adicionales.

En cuarto y último lugar, un mecanismo de revisión conjunta anual. De esta forma, la Comisión podrá supervisar periódicamente el funcionamiento de todos los aspectos del Escudo de la privacidad, incluidas las limitaciones y salvaguardias del acceso por motivos de seguridad nacional. La Comisión y el Departamento de Comercio de los Estados Unidos llevarán a cabo la revisión y contarán con la participación de las APD de la UE, las autoridades de seguridad nacional de los EE.UU. y el Defensor del Pueblo. De esta forma, se podrá exigir a los EE.UU. el cumplimiento de sus compromisos. Pero la Comisión no se limitará a estos aspectos. También se apoyará en todo tipo de fuentes de información disponibles, incluidos los informes de transparencia voluntaria por parte de las empresas sobre el alcance de las solicitudes de acceso. La revisión anual va más allá de lo dispuesto en el nuevo Reglamento, que solo exige estas revisiones como mínimo cada cuatro años, lo que demuestra la voluntad de la UE y de los EE.UU. de asegurar rigurosamente su pleno cumplimiento.

Dicha revisión no se limita a un ejercicio formal sino que podrá tener consecuencias. En los casos en que las empresas o autoridades públicas de los Estados Unidos no respeten sus compromisos, la Comisión activará el procedimiento para suspender el Escudo de la privacidad. Como el Tribunal de Justicia ha destacado en la sentencia Schrems, una decisión de adecuación no debe quedar en letra muerta; bien al contrario, las empresas y autoridades estadounidenses deben alimentar y apoyar continuamente el marco, demostrando que cumplen plenamente sus compromisos. Si no lo hicieran, las ventajas que supone la decisión de adecuación para las transferencias de datos dejarían de estar justificadas y serían retiradas.

3.3 Siguientes etapas

Los compromisos acordados por los EE.UU. en el marco del Escudo de la privacidad servirán de base para una nueva decisión de adecuación de la Comisión, en la que quedarán plasmados. Se anima a las empresas a empezar ya los preparativos a fin de estar en condiciones de participar en el nuevo marco tan pronto como sea posible tras la adopción de la Decisión de la Comisión. Por su parte, el Gobierno de los EE.UU. publicará sus observaciones en el Registro Federal de los EE.UU., lo que mostrará públicamente su compromiso.

El Escudo de la privacidad UE-EE.UU. exige la actuación de muchas partes:

Las empresas estadounidenses participantes, que deben cumplir las obligaciones que impone el marco con pleno conocimiento de que se aplicará con rigor y que los incumplimientos serán sancionados. Para fortalecer la confianza de sus consumidores, también se anima a las empresas a elegir las APD de la UE como vía de resolución de reclamaciones sobre el Escudo de la privacidad , ya que los ciudadanos europeos muy probablemente recurrirán a esas autoridades. Del mismo modo, la medida en que las empresas estén dispuestas a utilizar la facultad prevista en la legislación de los EE.UU. de publicar informes de transparencia sobre las solicitudes de acceso que reciben, relacionadas con la seguridad nacional y con fines coercitivos, contribuirá a mantener la confianza en que dicho acceso se limitará a lo que sea necesario y proporcionado.

Las distintas autoridades estadounidenses encargadas de supervisar y garantizar el cumplimiento del marco, respetando las limitaciones y salvaguardias en lo que respecta al acceso a los datos con fines coercitivos y de seguridad nacional, y las responsables de responder puntual y oportunamente a las reclamaciones de los ciudadanos europeos sobre el posible uso indebido de sus datos personales.

Las APD de la UE, que desempeñan un importante papel a la hora de garantizar que los ciudadanos puedan ejercer eficazmente sus derechos en el contexto del Escudo de la privacidad, entre otras cosas canalizando sus reclamaciones a las autoridades estadounidenses pertinentes y cooperando con ellas, poniendo en marcha el mecanismo del Defensor del Pueblo, ayudando a los denunciantes a trasladar su reclamación al panel del Escudo de la privacidad, así como supervisando las transferencias de datos ligadas a recursos humanos. y

La Comisión, responsable de las constattaciones de adecuación y de su periódica revisión. Estas revisiones periódicas son un cambio importante respecto a la estática situación anterior, con lo que el análisis del carácter adecuado que establece el Escudo de la privacidad se convierte en una supervisión estrecha y viva.