Por lo que respecta al proceso de renovación de la certificación, en la tercera revisión anual se puso de manifiesto que, como práctica habitual, al vencer el plazo de la certificación, si una empresa todavía no ha completado el proceso de renovación, el Departamento de Comercio, con arreglo a un procedimiento interno, concede a la empresa un «período de gracia» de una duración significativa. Durante dicho período (aproximadamente tres meses y medio, o, en algunos casos y dependiendo de cuándo detecte el Departamento de Comercio que el proceso de certificación se ha completo, incluso un período más largo), la empresa permanece en la lista de «activos» del Escudo de la privacidad. Mientras la empresa aparezca como participante en el Escudo de la privacidad, las obligaciones dimanantes del marco siguen siendo vinculantes y plenamente exigibles. Sin embargo, conceder un período tan largo tras la fecha de vencimiento de la certificación de una empresa mientras la empresa sigue figurando en la lista como participante activo del Escudo de la privacidad reduce la transparencia y la inteligibilidad de la lista del Escudo de la privacidad tanto para las empresas como para los particulares en la UE. Asimismo, no incentiva a las empresas participantes a cumplir rigurosamente el requisito de certificación anual.

Habida cuenta de los resultados de la revisión anual del año pasado, la evaluación de la Comisión de los aspectos comerciales se centró en particular en los progresos realizados por el Departamento de Comercio en relación con i) el proceso de renovación de la certificación, ii) la eficacia de los mecanismos introducidos por el Departamento de Comercio para supervisar de manera proactiva el cumplimiento por parte de las empresas certificadas (las denominadas «verificaciones aleatorias»), iii) las herramientas introducidas para detectar declaraciones fraudulentas, iv) el progreso y los resultados de las acciones de ejecución de la Comisión Federal de Comercio relativas a las violaciones del Escudo de la privacidad, y v) las novedades relacionadas con las directrices en materia de datos sobre recursos humanos.

Para llevar a cabo su evaluación, la Comisión también tuvo en cuenta otros acontecimientos del último año, como el litigio pendiente relativo al Escudo de la privacidad ante el Tribunal de Justicia de la Unión Europea. En este sentido, la revisión ofreció una oportunidad a la Comisión para obtener aclaraciones por parte de las autoridades de los Estados Unidos sobre determinados aspectos concretos del marco jurídico estadounidense que rige la recopilación de información de inteligencia exterior, planteados en el contexto del conocido asunto Schrems II. No obstante, una vez que el Tribunal se pronuncie en los asuntos pendientes de resolución, es posible que la Comisión tenga que volver a evaluar la situación.

Los resultados de la Comisión también se basaron en material disponible públicamente, como resoluciones judiciales, normas y procedimientos de ejecución de las autoridades estadounidenses pertinentes, informes y estudios elaborados por organizaciones no gubernamentales, informes de transparencia publicados por empresas certificadas con arreglo al Escudo de privacidad, informes anuales de mecanismos de recurso independientes, así como informes de los medios de comunicación.

Con miras a la preparación de la tercera revisión anual, la Comisión recabó información de las partes interesadas pertinentes (más específicamente de empresas certificadas con arreglo al Escudo de la privacidad, representadas por sus respectivas asociaciones empresariales, y de organizaciones no gubernamentales del ámbito de los derechos fundamentales y, en particular, los derechos digitales y la privacidad). Además de la recopilación de información escrita, la Comisión celebró reuniones con asociaciones industriales y empresariales el 9 de septiembre de 2019 y con organizaciones no gubernamentales el 11 de septiembre de 2019.

En particular, las medidas adoptadas para aplicar las recomendaciones de la Comisión después de la primera revisión anual han mejorado varios aspectos del funcionamiento práctico del marco. Por ejemplo, el Departamento de Comercio introdujo nuevos mecanismos para detectar posibles problemas de cumplimiento, la Comisión Federal de Comercio adoptó un enfoque más proactivo en relación con la supervisión del cumplimiento y la ejecución, y se hizo público el Informe del Consejo de Supervisión de la Privacidad y de las Libertades Civiles sobre la aplicación de la Presidential Policy Directive 28 (Directiva de Política Presidencial 28). Sin embargo, habida cuenta de que algunas de estas medidas se adoptaron justo antes de la segunda revisión anual y determinados procesos estaban todavía en curso, la Comisión concluyó que cualquier desarrollo ulterior relacionado con estos procesos y mecanismos requería una estrecha vigilancia.

En su Decisión de 12 de julio de 2016 (la «Decisión de adecuación»), la Comisión consideró que el Escudo de la privacidad UE-EE. UU. garantizaba un nivel adecuado de protección de los datos personales transferidos desde la UE a organizaciones establecidas en los Estados Unidos (EE. UU.). La Decisión de adecuación exige, en particular, a la Comisión que lleve a cabo una evaluación anual de todos los aspectos del funcionamiento del marco y, basándose en ello, elabore un informe público para presentarlo ante el Parlamento Europeo y el Consejo.

En lo relativo a la búsqueda de declaraciones fraudulentas de participación en el Escudo de la privacidad por parte del Departamento de Comercio, la Comisión observó que el Departamento de Comercio había seguido llevando a cabo búsquedas trimestralmente, lo que ha servido para detectar un número significativo de casos de declaraciones fraudulentas, que, en ocasiones, también se remitieron a la Comisión Federal de Comercio. No obstante, hasta ahora, estas búsquedas solo se han dirigido a empresas que de alguna manera ya habían sido certificadas o habían solicitado la certificación con arreglo al Escudo de Privacidad (pero que, por ejemplo, no habían renovado la certificación). Es importante que también se dirijan a empresas que nunca han solicitado la certificación con arreglo al Escudo de la privacidad. De todas las declaraciones fraudulentas, las de empresas que nunca han solicitado la certificación son probablemente las más perjudiciales. Esto es cierto desde el punto de vista de la privacidad de las personas, ya que las empresas que nunca han solicitado la certificación no han aplicado ninguna de las protecciones garantizadas por el Escudo de Privacidad en sus prácticas comerciales. Asimismo, es cierto desde la perspectiva de las empresas, ya que las condiciones de competencia equitativas entre empresas se ven socavadas si hay organizaciones que sin cumplir los requisitos del marco pueden reclamar las ventajas de la certificación.

La Comisión ha valorado positivamente que un número cada vez mayor de interesados de la UE hagan uso de sus derechos con arreglo al Escudo de la privacidad y que los mecanismos de recurso pertinentes funcionan bien. El número de reclamaciones presentadas a mecanismos de recurso independientes aumentó y se resolvieron para satisfacción de los particulares de la UE afectados. Además, las empresas participantes tramitaron adecuadamente las solicitudes de particulares de la UE.

Por lo que se refiere a la ejecución, la Comisión observó que, desde el año pasado, la Comisión Federal de Comercio concluyó siete acciones de ejecución relacionadas con las violaciones del Escudo de la privacidad, también como resultado de los barridos de oficio anunciados. Los siete casos se referían a declaraciones fraudulentas de participación en el marco. Dos de estos casos tenían que ver también con la violación de requisitos más sustantivos del Escudo de la privacidad, como el hecho de que no se verificara mediante una autoevaluación o una revisión externa del cumplimiento que las afirmaciones que la empresa hace sobre sus prácticas relativas al Escudo de la privacidad son ciertas y que dichas prácticas han sido aplicadas. La Comisión acoge con satisfacción la acción de ejecución emprendida por la Comisión Federal de Comercio en el tercer año de funcionamiento del Escudo de la privacidad. Al mismo tiempo, habida cuenta del anuncio de la agencia del año pasado y de las garantías ofrecidas en el curso de la segunda revisión anual, la Comisión habría esperado un enfoque más enérgico en lo que respecta a las acciones de ejecución sobre violaciones sustantivas de los principios del Escudo de la privacidad.

A este respecto, la Comisión tomó nota de la explicación dada en la tercera revisión anual de que varias investigaciones en curso están requiriendo más tiempo, ya que la Comisión Federal de Comercio está examinando toda la variedad de posibles violaciones. Sin embargo, la información proporcionada por la Comisión Federal de Comercio era demasiado escasa para evaluar adecuadamente el progreso en la ejecución. Si bien dicha información puede restringirse por motivos legítimos de confidencialidad, no parece justificable que la Comisión Federal de Comercio no pueda compartir, ni siquiera de forma agregada y anónima, más elementos sobre los barridos de oficio que se están llevando a cabo. Este planteamiento no está en consonancia con el espíritu de cooperación entre autoridades en el que se basa el Escudo de la privacidad, y la Comisión Federal de Comercio debería encontrar formas de compartir información significativa sobre su actividad de ejecución con la Comisión y con las autoridades de protección de datos de la UE que son corresponsables de la ejecución del marco.

La cuestión de cómo se tratan los datos sobre recursos humanos con arreglo al Escudo de la privacidad se debatió nuevamente durante la revisión. Tal y como han confirmado las partes interesadas, la elaboración de directrices conjuntas entre el Departamento de Comercio, la Comisión Federal de Comercio y las autoridades de protección de datos de la UE tendría un valor añadido real. En este sentido, la Comisión observa que han tenido lugar recientemente contactos que han permitido avanzar en la comprensión de los problemas, pero sin que ello haya dado lugar a ningún resultado concreto.

2.2.Acceso y utilización de datos personales por parte de las autoridades públicas de los Estados Unidos

En lo que respecta a los aspectos relativos al acceso y la utilización de datos personales por parte de las autoridades públicas de los Estados Unidos, la tercera revisión anual tenía por objeto, ante todo, confirmar que se mantienen todas las limitaciones y salvaguardias en las que se basa la Decisión de adecuación. Además, la tercera revisión anual ofreció la oportunidad de examinar los nuevos avances y de aclarar en mayor medida determinados aspectos del marco jurídico, así como los diferentes mecanismos de supervisión y las posibilidades de reparación, en concreto respecto a la tramitación y resolución de las reclamaciones por parte del Defensor del Pueblo.

Aunque no hubo nuevos desarrollos legales relativos a la recopilación de información de inteligencia exterior en virtud del artículo 702 de la Foreign Intelligence Surveillance Act (Ley de Vigilancia de Inteligencia Exterior), la Comisión acogió favorablemente las aclaraciones recibidas por las autoridades de los Estados Unidos sobre la manera en que la recopilación de información de inteligencia se realiza en virtud programas de inteligencia ejecutados de conformidad con el artículo 702 de la Ley de Vigilancia de Inteligencia Exterior (es decir, los programas Prism y Upstream). Estas aclaraciones confirmaron los resultados de la Comisión en la Decisión de adecuación, en los que se constataba que la recopilación de información de inteligencia extranjera en virtud del artículo 702 de la Ley de Vigilancia de Inteligencia Exterior siempre se lleva a cabo mediante el uso de selectores, y que la elección de los selectores se rige por la ley y está sujeta a una supervisión judicial y legislativa independiente.

Asimismo, la Comisión observó que está previsto que algunas de las autorizaciones para obtener información de inteligencia extranjera en virtud del artículo 501 de la Ley de Vigilancia de Inteligencia Exterior, modificada por la USA Freedom Act de 2015 (Ley de Libertad de los Estados Unidos), expiren el 15 de diciembre de 2019. Dado que la recopilación en virtud del artículo 501 de la Ley de Vigilancia de Inteligencia Exterior es pertinente en el marco del Escudo de la privacidad y, por lo tanto, ha sido evaluada en la Decisión de adecuación de la Comisión, es importante que, en caso de reautorización, se mantengan las limitaciones y salvaguardias existentes, como la prohibición de recopilaciones indiscriminadas.

Con respecto a la Directiva de Política Presidencial 28, las autoridades de los Estados Unidos confirmaron explícitamente que sigue en vigor y que no ha sido objeto de modificación alguna. Tampoco se han modificado los procedimientos de ejecución de la Directiva de Política Presidencial 28 dentro de las distintas agencias de los servicios de inteligencia. Además, la Comisión tomó nota de las explicaciones facilitadas por las autoridades de los Estados Unidos, en las que se aclaraba que las disposiciones sobre recopilaciones indiscriminadas recogidas en la Directiva de Política Presidencial 28, incluidas las relativas a la adquisición temporal, no se aplican a la recopilación de información de inteligencia exterior dentro de los Estados Unidos (por ejemplo, la recopilación de información de una empresa certificada que trata datos transferidos desde la UE con arreglo al Escudo de la privacidad), como la recopilación llevada a cabo al amparo del artículo 702 de la Ley de Vigilancia de Inteligencia Exterior y los programas Prism o Upstream, ya que dicha recopilación siempre está dirigida a destinatarios específicos.

En lo relativo al Consejo de Supervisión de la Privacidad y de las Libertades Civiles, que es un importante órgano de supervisión en el ámbito de la vigilancia gubernamental, la Comisión acogió con satisfacción que, con las confirmaciones recientes de dos miembros adicionales del Consejo por parte del Senado de los Estados Unidos, el Consejo de Supervisión de la Privacidad y de las Libertades Civiles, por primera vez desde 2016, cuente con una plantilla completa de cinco miembros. La Comisión observó, asimismo, que la plantilla del Consejo se ha duplicado desde la última revisión anual y que se ha adoptado un programa de trabajo ambicioso compuesto por diez proyectos de supervisión en curso, algunos de los cuales son de particular importancia para la revisión periódica del Escudo de la privacidad realizada por la Comisión.

En relación con el mecanismo del Defensor del Pueblo en el ámbito del Escudo de la privacidad, el presidente de los Estados Unidos anunció el 18 de enero de 2019 que la propuesta de candidatura de Keith Krach como subsecretario de Estado, también implica el cargo de Defensor del Pueblo. En 20 de junio de 2019, el Senado confirmó el nombramiento del señor Krach. La Comisión acoge con satisfacción el nombramiento del señor Krach como Defensor del Pueblo en el ámbito del Escudo de la privacidad, lo cual garantiza que el cargo esté cubierto de forma permanente.

En cuanto a la primera reclamación presentada al mecanismo del Defensor del Pueblo, interpuesta a través de la autoridad croata de protección de datos justo antes de la última revisión anual, esta reclamación fue finalmente declarada inadmisible, ya que se refiere a hechos acaecidos antes de la adopción de la Decisión del Escudo de la privacidad. No obstante, la reclamación brindó la oportunidad de probar el funcionamiento de los correspondientes procedimientos en la práctica. Tanto los representantes del Comité Europeo de Protección de Datos en la revisión anual como el Defensor del Pueblo confirmaron que todas las actuaciones pertinentes del procedimiento se habían llevado a cabo y completado de manera satisfactoria. La Comisión acoge con satisfacción el éxito de la tramitación de esta primera solicitud, que es un indicio importante de que el mecanismo del Defensor del Pueblo puede desempeñar adecuadamente sus funciones.

Las autoridades de los Estados Unidos también facilitaron explicaciones adicionales sobre la manera en que el Defensor del Pueblo colaboraría con otros órganos de supervisión independientes y contribuiría a finalizar las violaciones. En particular, confirmaron que el inspector general de los servicios de inteligencia sería informado sistemáticamente de cualquier reclamación interpuesta ante el Defensor del Pueblo y que llevaría a cabo su propia evaluación. Además, explicaron que, si una reclamación interpuesta ante el Defensor del Pueblo revela una violación de los procedimientos de segmentación en virtud del artículo 702 de la Ley de Vigilancia de Inteligencia Exterior, dicha violación se notificará al Tribunal de Vigilancia de la Inteligencia Exterior, que llevará a cabo una revisión independiente y, si es necesario, ordenará a la agencia de inteligencia pertinente que adopte medidas correctoras. Estas medidas correctoras pueden abarcar desde medidas individuales a medidas estructurales, por ejemplo, desde la supresión de datos obtenidos de forma ilegal hasta un cambio en la práctica de recopilación, incluso en términos de orientación y formación del personal.

Finalmente, se confirmó que, si se detectara una violación de la legislación estadounidense [como una violación de las Executive Orders (decretos) o Presidential Directives (directivas presidenciales) y normas y procedimientos institucionales, como, por ejemplo, los procedimientos segmentación y minimización aprobados por el Tribunal de Vigilancia de la Inteligencia Exterior] en el curso de la revisión de una reclamación presentada ante el Defensor del Pueblo, los datos recopilados de forma ilegal se eliminarían de todas las bases de datos gubernamentales y se suprimiría cualquier referencia a dichos datos de los informes de inteligencia. De este modo, una persona en la UE podría obtener la supresión de sus datos personales si hubieran sido recopilados y tratados de forma ilegal por los servicios de inteligencia de los Estados Unidos.

La Comisión acoge con satisfacción estas explicaciones adicionales, que demuestran en qué medida la cooperación entre los distintos órganos de supervisión independientes fortalece la eficacia del mecanismo del Defensor del Pueblo. Asimismo, era importante aclarar que, mediante la utilización del mecanismo del Defensor del Pueblo, las personas que se encuentran en la UE pueden, de hecho, ejercer su derecho de supresión, que es un elemento fundamental del derecho a la protección de los datos personales.

3.CONCLUSIÓN

La información recopilada en el contexto de la tercera revisión anual confirma los resultados de la Comisión en la Decisión de adecuación, tanto con respecto a los «aspectos comerciales» del marco como a los aspectos relacionados con el acceso a los datos personales transferidos con arreglo al Escudo de la privacidad por las autoridades públicas. A este respecto, la Comisión destacó una serie de mejoras en el funcionamiento del marco, así como los nombramientos para los principales órganos de supervisión.

Sin embargo, habida cuenta de algunas cuestiones surgidas de la experiencia diaria o que se hicieron más pertinentes en el contexto de la aplicación práctica del marco, la Comisión concluye que deben adoptarse una serie de medidas concretas para garantizar mejor un funcionamiento eficaz del Escudo de la privacidad en la práctica, a saber:

1.El Departamento de Comercio debe acortar los distintos plazos que se otorgan a las empresas para completar el proceso de renovación de la certificación. Un plazo máximo de treinta días en total parece razonable para que las empresas dispongan de tiempo suficiente para renovar la certificación, incluso para subsanar cualquier problema detectado en el proceso de certificación, al tiempo que se garantiza la eficacia de este proceso. Si al final de este período no se ha completado la certificación, el Departamento de Comercio debe enviar la carta de advertencia sin más demora.