Source: https://es.scribd.com/doc/106926979/El-nivel-adecuado-de-proteccion-para-las-transferencias-internacionales-de-datos-personales-desde-la-Union-Europea
Timestamp: 2016-07-27 14:09:26+00:00

Document:
UploadSign inJoinBooksAudiobooksComicsSheet MusicEditors' Picks BooksHand-picked favorites from our editorsEditors' Picks AudiobooksHand-picked favorites from our editorsEditors' Picks ComicsHand-picked favorites from our editorsEditors' Picks Sheet MusicHand-picked favorites from our editorsTop BooksWhat's trending, bestsellers, award-winners & moreTop AudiobooksWhat's trending, bestsellers, award-winners & moreTop ComicsWhat's trending, bestsellers, award-winners & moreTop Sheet MusicWhat's trending, bestsellers, award-winners & moreCategoriesArts & IdeasBiography & MemoirBusiness & LeadershipChildren'sComputers & TechnologyCooking & FoodCrafts & HobbiesFantasyFiction & LiteratureHappiness & Self-HelpHealth & WellnessHistoryHome & GardenHumorLGBTMystery, Thriller & CrimePolitics & EconomyReferenceReligionRomanceScience & NatureScience FictionSociety & CultureSports & AdventureTravelYoung AdultCategoriesArts & IdeasBiography & MemoirBusiness & LeadershipChildren'sComputers & TechnologyCooking & FoodFantasyFiction & LiteratureHappiness & Self-HelpHealth & WellnessHistoryHome & GardenHumorLGBTMystery, Thriller & CrimePolitics & EconomyReferenceReligionRomanceScience & NatureScience FictionSociety & CultureSports & AdventureTravelYoung AdultCategoriesAdaptationsChildren’sCrime & MysteryFictionHumorMangaNonfictionRomanceSciFi, Fantasy & HorrorSuperheroesYoung AdultPublishersArcanaArchie ComicsBOOM! StudiosDynamiteIDW PublishingKingstone ComicsMarvel ComicsSpace Goat ProductionsTop Cow ComicsValiant ComicsZenescopeDifficultyBeginnerIntermediateAdvancedMixedInstrumentBrassDrums & PercussionGuitar, Bass, and FrettedPianoStringsVocalWoodwindsGenreClassicalCountryFolkJazz & BluesMovies & MusicalsPop & RockReligious & HolidayStandardsWelcome to Scribd! Start your free trial and access books, documents and more.Find out more6.Derecho informativo
en 1970. Antecedentes Temerosos de los riesgos que el creciente uso de la tecnología podría implicar para los derechos fundamentales1. Bundesdatenschutzgesetz. la Privacy Act. A/CONF. A comienzos de los ochenta. which prevents arbitrary or unjustifiable discrimination between countries. Véase: Proclamation of Teheran. Loi 78-17 du janvier. Teheran. U. Final Act of the International Conference on Human Rights. Dinamarca. y Francia. muy en especial.
. Relative à l’informatique. 22 April to 13 May 1968. Palabras clave Privacidad – Protección de datos – Datos personales – Nivel adecuado de protección – Transferencia internacional de datos. Luxemburgo.328 Revista de Derecho XXXVI (1er Semestre de 2011)
La hipótesis subyacente es que.
I. con la Conferencia Internacional sobre Derechos Humanos. y Noruega. el debate internacional en torno a los límites que una sociedad democrática debe imponer para proteger los derechos humanos frente al creciente uso de las tecnologías comenzó en 1968. the European Union has eroded its purpose of achieving an “adequate level of protection” anywhere that it exports personal data. Sin embargo. 32/41 at 3 (1968). A pesar de los esfuerzos de la autoridades nacionales en materia de protección de datos para obtener un satisfactorio nivel de protección. 1973. la primera experiencia de adopción de una ley de protección de datos personales corresponde al land alemán de Hesse. 1974. Keywords Privacy – Data protection – Personal data – Adequate level of protection – International transference of data. entre los países que habían adoptado leyes en materia de protección de datos se contaban: Suecia.
ces. France. 1977. la ausencia de leyes en otros países y la precaria armonización legal entre otros impedían la obtención de tal logro. regular las transferencias de información personal de un país a otro. 2 Hacia finales de los años setenta. Existían también leyes sobre la materia en Austria. varios países adoptaron leyes sobre protección de los datos personales para reglamentar el tratamiento automatizado de la información personal2. la entonces República Federal de Alemania. los Estados Unidos. organizada por las Naciones Unidas. Doc. la Unión Europea ha socavado su propósito de obtener un “nivel adecuado de protección” cualquiera sea el lugar a que ésta exporte datos personales. The underlying hypothesis is that. que impide la discriminación arbitraria o injustificable entre países. 1978. en orden a cumplir con la obligación establecida en ese Acuerdo. desde comienzos de los años setenta. resultaba evidente que dichos países necesitaban una aproximación internacional para lograr cierta concordancia entre sus legislaciones locales y. aux fichiers et aux libertés. Data Lag. A través de acuerdos
De hecho.N. in order to comply with the obligation set forth by this Agreement.
[Recibido el 27 de octubre de 2010 y aprobado el 28 de marzo de 2011].
autoriza la restricción del flujo cuando un país no provee un nivel de protección “equivalente”. Subsecuentemente. evitar innecesarias barreras para la libre circulación de información entre los países3. celebrada en Santiago de Chile entre el 17 y 18 de noviembre de 2004. y la economía de libre mercado. adoptados por la Asamblea General de la Naciones Unidas en su resolución 45/95. a la vez. 5 Organization for Economic Co-operation and Development. adopted by the Governments of OECD Member countries on 8 October 1998 . Respecto del flujo transfronterizo de datos personales. para efectos de nuestro análisis.
En los siguientes párrafos. adopted by the Council on 23 September 1980 C(80)58/Final. privacidad en redes globales6. de 14 de diciembre de 1990. de unas directrices relativas a la protección de la intimidad y de la circulación transfronteriza de datos personales4. las directrices evitan la adopción de medidas que establezcan obstáculos innecesarios al libre flujo de información. Declaration on the Protection of Privacy on Global Networks. La Organización para la Cooperación y el Desarrollo Económicos (OCDE) aprobó el primer instrumento internacional que intentó reglamentar el procesamiento de datos personales y el flujo internacional de dichos datos. mediante la adopción. pero. tales como transparencia pública y acceso a la información5. en 1980. Sin embargo. 4 Organization for Economic Co-operation and Development (OECD).C(85)139. las cuales promueven la democracia. adopted by the Governments of OECD Member countries on 11 April 1985 . el “Convenio de Estrasburgo” y las directivas de la Unión Europea. un panorama completo de los instrumentos internacionales relativos a la transferencia transfronteriza de datos personales también requeriría incluir: los Principios rectores para la reglamentación de los ficheros computarizados de datos personales.El “nivel adecuado de protección” para las transferencias internacionales
internacionales los países podrían proteger el derecho a la privacidad de las personales y. la OCDE ha adoptado varias directrices en asuntos relacionados son la protección de los datos personales. Las directrices establecen un estándar mínimo a efectos de promover la armonización internacional de las normas relativas al tratamiento manual y automatizado de información personal por los sectores públicos y privado. adoptado en la 16a Reunión Ministerial de APEC. 6 Organization for Economic Co-operation and Development. y el Anteproyecto de Convención Americana sobre Autodeterminación Informativa. de la Organización de Estados Americanos. a efectos de proteger los derechos humanos. el respecto por los derechos humanos.C(98)177. Recommendation of the Council concerning guidelines governing the protection of privacy and transborder flows of personal data. Declaration on Transborder Data Flows.
. sin embargo. los instrumentos internacionales relevantes son las distintas recomendaciones adoptadas por la Organización para la Cooperación y el Desarrollo Económicos. el Asia-Pacific Economic Cooperation Privacy Framework.
el Consejo de Europa adoptó el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal. Staff Report prepared at the request of Edward J. y 3 del “Convenio de Estrasburgo”.g. publicada en el Diario Oficial de la Federación el 5 de julio de 2010.. 11 Artículos 3. y provee mecanismos de asistencia recíproca y cooperación internacional a través de las autoridades locales de cada país13. September 20.g. el convenio requiere una “protección equivalente” entre los países partes12. 13 Artículos 13 a 17 del “Convenio de Estrasburgo”. Durante la primera mitad de los años 90. incluso entre los propios países miembros de la organización8. para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (= “Convenio de Estrasburgo”). sin embargo. las directrices de la OCDE han sido incapaces de crear un entorno que garantice el libre flujo de información personal. Health Information. de 28 de enero de 1981.. Tax Records Lack Fundamental Privacy Safeguards. Canadá. 12 Artículos 12 del “Convenio de Estrasburgo”. de Europa.330 Revista de Derecho XXXVI (1er Semestre de 2011)
y comunicaciones electrónicas no solicitadas (“spam”)7. 10 Artículos 1. House of Representatives. hubo un reducido
Organization for Economic Co-operation and Development. y algunos bastante débiles (e. El convenio contiene disposiciones aplicables al tratamiento automatizado de datos personales relativos a personas físicas tanto por el sector público como por el privado10. La posición de México en el mencionado “ranking” ha debido cambiar.g. Alemania. 2 a) y c). Respecto del flujo transfronterizo de datos personales. y España). adopted by the Council on 13 April 2006 . un país parte podría también aplicar sus disposiciones a los datos concernientes a personas jurídicas y al tratamiento manual de los datos11. Markey (U. 6-7. Social Security Numbers. 2005). sin posibilidad de su cumplimiento forzado.C(2006)57. la eficacia del “Convenio 108” decayó y fue también incapaz de resolver los problemas relativos al flujo transfronterizo de datos personales. En 1981. para evitar la elusión de las leyes nacionales sobre protección de datos.S.. Véanse: Outsourcing Privacy: Countries Processing U. Corea y los Estados Unidos). Finlandia. por consiguiente. también conocido como “Convenio de Estrasburgo” o “Convenio 108”9. otros menos fuertes (e. 9 Convenio Nº 108 del Consejo. Sin embargo. la eficacia de las directrices de la OCDE es limitada por su propia naturaleza: toda recomendación es un documento jurídicamente no vinculante y. Francia. particularmente tras la reciente adopción de la Ley federal de protección de datos personales en posesión de los particulares. México).2 del “Convenio de Estrasburgo”. pp.S. Recommendation of the Council on Cross-Border Co-operation in the Enforcement of Laws against Spam. 8 Entre los países miembros de la OCDE.
. Como resultado de ello. Sin embargo. hay unos con leyes de protección de la privacidad bastante fuertes (e.
de 29 de octubre. Por tales razones16. Aranzadi. 1997). esto es. 95)17. los países partes no siempre implementaron el Convenio en su Derecho interno15. 15 Este fue.
. Manuel. la Dir. una regulación comunitaria vinculante para los países miembros. antes que a efectos de proteger la privacidad de las personas en relación con el tratamiento de sus datos. La Dir. pero que sólo la implementó en 1992. Diana.int/Treaty/Commun/ChercheSig. 19 Artículos 6 a 11 de la “Directiva de protección de datos”. Por ejemplo. Estado del Convenio. véase: Cerda Silva. 12 (Talca. El futuro de la protección de datos a nivel europeo.1. pp. 17 Directiva N° 95/46/CE del Parlamento Europeo y el Consejo. 18 Artículos 1. Adicionalmente. a efectos de garantizar el libre flujo de información entre los miembros de la Unión Europea. 2006). Instituto de Informática Jurídica. Vid. 221-251. 2 y 3. a través de la Ley Orgánica N° 5/1992. 95 establece un régimen normativo exhaustivo que reglamenta el tratamiento de los datos personales concernientes a personas naturales que se verifique manual o automatizadamente tanto en el sector público como en el privado18. de 24 de octubre de 1995.1 de la “Directiva de protección de datos”. 20 Artículos 12 a 15 de la “Directiva de protección de datos”. lo cual era necesario para el adecuado funcionamiento del mercado interno. Para una revisión del proceso de armonización normativa llevado adelante por la Directiva entre los países miembros de la Unión Europea y los distintos mecanismo para asegurar su eficacia. Mecanismos de control en la protección de datos en Europa. de Regulación del tratamiento automatizado de los datos de carácter personal (LORTAD). los derechos del titular de datos20. 16 Heredero explica que la propuesta de Directiva inicialmente mostraba una mayor preocupación en la obtención de un “nivel de protección equivalente”. tal como el Social Security Network Programme (SOSENET) que intentaba coordinar los servicios de seguridad social de Europa. 23 – 30. pp. la ausencia de equivalencia entre los países europeos en relación a sus leyes sobre protección de datos creaba problemas para la implementación de iniciativas que suponían la transferencia de datos de un país a otro. 95 establece los principios que reglamentan el tratamiento de datos19. la Unión Europea decidió tomar la iniciativa de adoptar una directiva. Universidad Pontificia Comillas. en Encuentros sobre Informática y Derecho (Madrid. 95 N° 95/46/CE del Parlamento Europeo y del Consejo. de 24 de octubre de 1995. de acuerdo a Diana Alonso. en Ius et Praxis. La Directiva comunitaria de protección de datos de carácter personal (Pamplona.El “nivel adecuado de protección” para las transferencias internacionales
número de nuevos países signatarios del convenio14. por ejemplo. y
14 Estos fueron: Finlandia. Hungría y Eslovenia. disponible en <http://conventions. pp. Adicionalmente. 1995-1996). en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (“Directiva de protección de datos”).coe. Heredero. Dicho proceso cristalizó en la Dir. Véase: Alonso. 163 – 176. Alberto. Relativa a la protección de las personas físicas. asp?NT=108&CL=ENG> (última visita: 27 de enero de 2010). relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (= Dir. país que ratificó el Convenio en 1984. el caso de España. Chile.
26 Considerandos 8 y 9 de la “Directiva de protección de datos”. y “Christa Neukomm y Joseph Lauermann v. 23 Artículo 28 de la “Directiva de protección de datos”. De hecho. la Corte Europea de Justicia resolvió que a lo menos ciertas disposiciones de ella son auto-ejecutables (“self-executing”) y. 265 final. p. 95. y un “nivel adecuado de protección”27. gracias a su progresiva implementación en el Derecho interno. A pesar de las flexibilidades previstas por la propia Dir. La Dir. ¿Qué significa “nivel adecuado de protección”? ¿Hay alguna diferencia entre tal nivel y otro equivalente? En caso de existir tal criterio de adecuación. su diferencia con la protección equivalente. Casos C-465/00. en el caso de transferencias entre los países miembros de la Unión Europea. por consiguiente. esto es. Artículo 22 de la “Directiva de protección de datos”. y C-139/01 “Rechnungshof v. relativa a la protección de las personas con respecto al procesamiento de datos personales. 59 y 60. 95 se refiere a dos distintos niveles: un “nivel de protección equivalente”26. la Dir. Österreichischer Rundfunk”. ella ha contribuido notablemente a la armonización entre los países miembros de la Unión Europea25. y la aplicación de tal criterio de adecuación. 30 de mayo de 2003. 57. particularmente en relación con dos casos: el “Acuerdo de Puerto Seguro” suscrito entre los Estados Unidos y la Unión
Artículo 23 de la “Directiva de protección de datos”. Respecto del flujo transfronterizo de datos personales. A pesar de los requisitos de implementación previstos en el texto de la “Directiva de protección de datos”.332 Revista de Derecho XXXVI (1er Semestre de 2011)
la responsabilidad de las entidades que procesan datos21. Österreichischer Rundfunk y otros”. First report on the implementation of the Data Protection Directive (95/46/EC) (Brussels. ¿cómo ha sido este aplicado? A efectos de responder a estas interrogantes en las siguientes páginas revisaremos el criterio adoptado por la Unión Europea para calificar a un país como uno que provee un “nivel adecuado de protección”. 25 Sólo cuatro países implementaron la Directiva a tiempo. 95 en su respectivo Derecho interno24. 2003). en el caso de flujos de datos hacia terceros países. y. artículo 25 de la “Directiva de protección de datos”. aquellos que no son miembros de la Unión Europea.5. C-138/01. Corte Europea de Justicia. Los países miembros de la Unión Europea dispusieron de un término de tres años para implementar la Dir. 15. 27 Considerandos 56. Francia fue el último que implementó la Directiva modificando su legislación interna mediante ley del 6 de agosto de 2004. 95 requiere la existencia de un recurso judicial22 y de una autoridad publica independiente a cargo de supervigilar el cumplimiento de la ley de protección de datos personales23. 24 Artículo 32 de la “Directiva de protección de datos”. Véase: Commission of the European Communities.2003 COM. una persona puede esgrimirlas a efectos de evitar la aplicación de una norma de Derecho interno inconsistente.
(n. el cual prohíbe a una parte bloquear la transferencia de datos personales hacia una parte receptora. 95 está en armonía y es consistente con el “Convenio 108”. Sin embargo. Heredero. 117 ss. e. 95. Alcance de la exigencia de un “nivel adecuado de protección” Desde la preparación de los borradores que precedieron a la adopción de la Dir. párrafo 69. 29 De acuerdo con Heredero. asumiendo que el nivel de protección entre los miembros de la Unión Europea es equivalente29. la Dir. En la Unión Europea. Sin embargo. la disparidad solamente puede tener lugar con terceros países. pp. las disposiciones de la Directiva no incluyen ningún mecanismo para establecer dicha equivalencia. La Dir. la Directiva asume que una vez que la implementación es efectuada. 95 no ha podido exigir un equivalente (i. Bajo tal circunstancia. 95 autoriza a los países. Manuel.3 b del “Convenio de Estrasburgo”. las preocupaciones eran distintas de un lado y otro del Atlántico. De hecho. los autores alegaban en contra de la importación europea de su regulación a otros países. que no son miembros de la Unión Europea. ha existido cierto desconcierto entre los expertos respecto del uso de la frase “nivel adecuado de protección”. A pesar de las diferencias ocasionadas por el “margen de maniobra” que la Dir. En los Estados Unidos. En cambio. sus efectos nocivos para el funcionamiento del libre mercado. la Dir. y la decisión de esta última de calificar a Argentina como un “país seguro.
. cit. 95 eliminó los obstáculos para el flujo de datos desde un país a otro en el mercado interno. los autores estaban preocupados del sentido de la expresión “adecuado”. si ésta provee un “nivel de protección equivalente”30. 1995). ésta les exige un nivel de protección menos
28 Estadella-Yuste. La protección de la intimidad frente a la transmisión internacional de datos personales (Madrid. particularmente teniendo en consideración que el “Convenio 108” ya establecía un estándar –“nivel de protección equivalente”– a efectos de permitir el flujo transfronterizo de datos personales28. Véase el Explanatory Report of Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data. 16). Olga. porque se presume un “nivel de protección equivalente” dentro de las fronteras de la Unión Europea. exactamente el mismo) nivel de protección de terceros países. y la imposibilidad del sistema estadounidense de satisfacer dicho nivel de protección.” II. Tecnos.El “nivel adecuado de protección” para las transferencias internacionales
Europea.. éstos no pueden bloquear el libre flujo de información. y considerando 11 de la “Directiva de protección de datos”. porque ello no es un problema o ello será resuelto a través de la aplicación del artículo 30 de la “Directiva de protección de datos”. 186. 30 Artículo 12. p.
8 – 9. es decir. naturalmente. Véase Heredero.Wu. las cuales adoptan un “nivel de protección equivalente” como estándar. los cuales no pueden obstaculizar el flujo de datos personales dentro del mercado interno. de otro modo. cit. 95 una exigencia adicional que infringe las disposiciones del Convenio? Para responder las interrogantes precedentes. Adicionalmente. lo cual parece bastante improbable dada la ausencia del requisito de opinio juris en las mismas. p. pp. y ha
Heredero. 95 provee una cláusula de homologación con compromisos internacionales37. la Dir. 188. 24 July 1998. Tim Who Controls the Internet: Illusions of a Borderless World (Nueva York. la Dir. 16). el cual admite su adhesión por países que no son miembros del Consejo de Europa35. Sin embargo.
. las transferencias están prohibidas. que no garantizan un “nivel adecuado de protección”33. cit. p. el análisis de las cuales excede los propósitos de este artículo34. 34 Artículo 26 de la “Directiva de protección de datos”. especialmente considerando que. 95 ha prohibido la transferencias de datos personales a terceros países. el Grupo del artículo 29 sobre Protección de Datos. la Dir. 2008). 16). p. salvo si ellas llegasen a constituir costumbre internacional. Articles 25 and 26 of the EU data protection directive. Esto parece más realista como exigencia a terceros países. 35 Artículo 23 del “Convenio de Estrasburgo”.. en caso de que un país carezca de tal nivel. y prevé un “nivel de protección equivalente”36. (n. DG XV D/5025/98 WP 12. 9538.334 Revista de Derecho XXXVI (1er Semestre de 2011)
fuerte: un nivel “adecuado”31. En cambio. Jack . véase: Goldsmith. La Dir. Working Document: Transfers of Personal Data to Third Countries: Applying. 188.1 de la “Directiva de protección de datos”. En síntesis. Esto ha creado un problema en el caso de aquellos terceros países que sin ser partes de la Unión Europea son partes del “Convenio 108”. instancia que reúne a las autoridades sobre protección de datos de todos los países miembros de la Unión Europea. 38 Working Party on the Protection of Individuals with regard to the Processing of Personal Data. países no miembros de la Unión Europea. 37 Artículo 25. 95 presume un “nivel de protección equivalente” entre los países miembros de la Unión Europea. el “Convenio 108” y la Dir. 95 demandaría la adopción global del estándar de la Unión Europea32. 36 Este asunto también puede ser suscitado con respecto a las recomendaciones de la OCDE. 95 requiere un “nivel adecuado de protección” a terceros países. dichas recomendaciones no son jurídicamente vinculantes. 186. Ibíd. 173-177. 33 Artículo 25. ha provisto una interpretación que armoniza las disposiciones de ambos instrumentos. tal regla general cuenta con algunas excepciones. la Dir.6 de la “Directiva de protección de datos”. Oxford University Press. Manuel. pp. Para una usual perspetiva estadounidense al respecto. (n. ¿Deben estos países satisfacer ambos estándares a efectos de obtener transferencias de datos personales desde la Unión Europea? ¿Constituye la exigencia de adecuación de la Dir. Manuel.
sin embargo. y ha incrementado los requisitos de protección entre las partes del Convenio. cit. 9545. profesora de Derecho en la Universidad Autónoma de Barcelona. (n. 95 no provee una definición de adecuación. 45 Heredero. y las “garantías comparables” de los Principios formulados por las Naciones Unidas43. a las autoridades de control y a los flujos transfronterizos de datos. ello no erosiona el propósito mismo de su adopción. Protocolo Adicional al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal.
. Olga Estadella-Yuste. 110. como un elemento de la protección efectiva42. en 2001. cit. p. expresa su desazón con la inexactitud de los documentos internacionales. Olga. Él no contribuye a superar la incertidumbre en torno a similares criterios. los que en vez de determinar un nivel de protección han creado vaguedad. ella es con propiedad una ficción jurídica más que una
Estos fueron los casos de Hungría. la Unión Europea no aplica el estándar de equivalencia que presume entre sus miembros. Finalmente. 28). (n. la Dir. adoptados por la Asamblea General de la Naciones Unidas en su resolución 45/95. a efectos de autorizar la transferencia de datos personales hacia terceros países. de 14 de diciembre de 1990. Como ya se ha dicho. al requerir la existencia de una autoridad de supervisión. 43 Párrafo 9 de los Principios rectores para la reglamentación de los ficheros computarizados de datos personales. Efectivamente. Suiza. 188. tales como “protección equivalente” en el “Convenio 108”. De hecho. 41 Artículo 1 del Protocolo Adicional. 44 Estadella-Yuste. hecho en Estrasburgo el 8 de noviembre de 2001. socavando los propósitos mismos de su adopción44. p. 16). Manuel. él ha sido criticado por su ambigüedad. a efectos de obtener una completa consistencia entre ambos instrumentos internacionales. 42 Artículo 2 del Protocolo Adicional. 95 provee un concepto jurídico indeterminado. dicha equivalencia no existe. la que debe ejercer sus funciones en completa independencia. ¿cuáles son dichos criterios y cómo han sido aplicados por las autoridades de la Unión Europea? De acuerdo a lo mencionado. La Dir. una norma en blanco.El “nivel adecuado de protección” para las transferencias internacionales
empleado el hecho de ser un país parte del Convenio como un elemento en su hallazgo de adecuación en el nivel de protección provisto por un tercer país39. un Protocolo Adicional al Convenio fue adoptado40. Volviendo a nuestro análisis del “nivel adecuado de protección”. el cual ha introducido modificaciones a las disposiciones que reglamentan el flujo transfronterizo de datos personales41. Pero. la frase “nivel adecuado de protección”brinda suficiente flexibilidad a efectos de su aplicación a las diferentes realidades en que dicho estándar es aplicado. Guernsey y la Isla de Man. pero susceptible de adquirir un colorido contenido a través del uso de aquellos criterios previstos por la propia Dir.
47 Artículo 25. 95 requiere un análisis caso a caso para efectos de determinar si un país provee el nivel de protección requerido. En parte. Adicionalmente. First Orientations on Transfers of Personal Data to Third Countries . e indica algunos de los varios criterios eventualmente aplicables47. DG XV D/5025/98 WP 12. esto es. Sin embargo. Al adoptar tan amplio criterio. y Working Party on the Protection of Individuals with regard to the Processing of Personal Data. Discussion Document adopted by the Working Party on 26 June 1997. dichas diferencias provienen del margen de maniobra que la propia Directiva otorga a los miembros para su implementación. profesor de Derecho y decano de la Escuela de Derecho de la Universidad de Laponia. puede conducir a una fragmentación normativa [véase: Saarenpää. Ahti. hay dos elementos esenciales en cualquier análisis relativo al “nivel adecuado de
La propia Directiva reconoce que la mencionada equivalencia no existe.336 Revista de Derecho XXXVI (1er Semestre de 2011)
presunción46.Possible Ways Forward in Assessing Adequacy. la Unión Europea tampoco usa el estándar de equivalencia como punto de referencia. En nuestro concepto. 24 July 1998. la Directiva apropiadamente elude establecer un “nivel adecuado de protección” mediante su comparación con esa ficción legal llamada “nivel de protección equivalente”. 95 dice que la adecuación “se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos”. tal proliferación hace totalmente ilusorio la idea misma de “un” “nivel de protección equivalente”: hay tantos niveles equivalentes de protección dentro de la Unión Europea como países miembros y áreas de aplicación. pp. 3 (2003). el artículo 25. la Unión Europea ha adoptado otras Directivas que incluyen disposiciones relativas al tratamiento de datos personales. en Revista Chilena de Derecho Informático. Europa y la protección de los datos personales. 48 Los documentos más relevantes para estos efectos son: Working Party on the Protection of Individuals with regard to the Processing of Personal Data.
. mediante la adopción de una interpretación de autoridad acerca de qué constituye un “nivel adecuado de protección”48. de hecho. XV D/5020/97-EN final WP4. Sin embargo. de acuerdo a Ahti Saarenpää. por ejemplo. la multiplicidad y frecuencia de las transferencias de datos han forzado al Grupo del artículo 29 sobre Protección de Datos a racionalizar el proceso. la Dir. De acuerdo al Grupo del artículo 29 sobre Protección de Datos. asume que hay diferencias entre sus propios miembros y que dichas diferencias pueden ser relevantes a efectos de calificar a un tercer país como uno que provee un “nivel adecuado de protección”. la Dir. a efectos de calificar a éstos.2 de la Directiva considera “el país de origen”. La Unión Europea emplea el estándar de “nivel adecuado de protección” en relación con terceros países. En efecto.2 de la “Directiva de protección de datos”. en vez de ello la Dir. Como resultado de ello. cada disposición de la Directiva tiene un reflejo en el Derecho interno de cada país miembro de la Unión Europea. la Unión Europea. Working Document: Transfers of Personal Data to Third Countries: Applying Articles 25 and 26 of the EU Data Protection Directive. 95 provee otros criterios que permiten determinar si un país ofrece un nivel de protección adecuado o no. 15-29]. las cuales. al determinar la adecuación de un tercer país.
En suma. establecen principios aplicables al procesamiento de datos. Sin embargo. Sobre la base de un análisis caso a caso.3 de la Carta expresa que “El respeto de estas normas (sobre protección de datos de carácter personal) quedará sujeto al control de una autoridad independiente”. En relación al contenido. el Grupo del artículo 29 sobre Protección de Datos entiende que el “nivel adecuado de protección” requiere la existencia de disposiciones que garanticen los derechos de los titulares de datos personales. 50 Supra (n. y la Comisión en la reunión del Consejo de Europa en Niza. la evaluación requiere constatar la apropiada adopción y cumplimiento de las disposiciones sobre protección de datos personales. 95 en este punto es la existencia de una autoridad independiente que supervisa el cumplimento de la ley. consecuentemente. Dichos requisitos están presentes en la mayor parte de los instrumentos internacionales relativos a la protección de los datos personales. Respecto a asegurar una efectiva aplicación de las normas. lo que evidencia un significativo nivel de consenso en torno a ellos. este elemento ha sido consagrado como una parte esencial del derecho a la protección de los datos personales previsto en la Carta de los Derechos Fundamentales de la Unión Europea49. El elemento distintivo de la Dir. Carta de los Derechos Fundamentales de la Unión Europea. firmada y proclamada por los Presidentes del Parlamento Europeo. en caso de infracción. 48). En otros términos. imponen obligaciones a los responsables de tratamiento. Además. el Consejo. a través
49 El artículo 8. y la provisión de apropiadas compensaciones para las partes afectadas con la infracción de las reglas50. como es posible apreciar. estos criterios intentan identificar si un país garantiza adecuada protección. el 7 de diciembre de 2000. el Grupo del artículo 29 sobre Protección de Datos ha adoptado una aproximación flexible que mira al sistema legal en su conjunto y no sólo a la ley de protección de datos vigente. el Grupo del artículo 29 sobre Protección de Datos intenta identificar el nivel de cumplimiento y la disponibilidad de mecanismos para tal efecto. y responsabilidad. el Grupo del artículo 29 sobre Protección de Datos no se concentra en un determinado mecanismo sino que mira hacia los propósitos subyacentes del sistema: la obtención de un buen nivel de cumplimiento de las normas. el apoyo y ayuda hacia los titulares de datos personales para el ejercicio de sus derechos.El “nivel adecuado de protección” para las transferencias internacionales
protección”: el contenido de las reglas aplicables y los medios para asegurar su efectiva aplicación. al evaluar.
. puede disfrutar de transferencias de datos personales desde los países miembros de la Unión Europea. tales como recursos judiciales y sistema de sanciones. el Grupo del artículo 29 sobre Protección de Datos ha adoptado criterios flexibles a efectos de establecer si un determinado país provee un “nivel adecuado de protección” y. de hecho.
los casos más interesantes son el “Acuerdo de Puerto Seguro”. Ambos constituyen excelentes casos de estudio. solamente un par de casos corresponden a países fueras de dicho entorno.
. a efectos de comprender la aplicación que la Unión Europea ha hecho del criterio de “nivel adecuado de protección”. Para comprender los desafíos del flujo de datos personales desde la Unión Europea a los Estados Unidos es previamente necesario identificar las peculiaridades del sistema jurídico estadounidense que hacen una completa diferencia entre ambos bloques. que permite las transferencias de datos desde la Unión Europea a los Estados Unidos. Guernsey. en relación al denominado “Acuerdo de Puerto Seguro” y al tratamiento y la transferencia de datos del registro de nombres de los pasajeros. en 1995. no sólo por sus significativas diferencias con la Unión Europea. Hungría y Suiza (1999). la mayor parte están insertos geográficamente en el entorno europeo y han adaptado sus marcos normativos de modo de garantizar su reconocimiento por las autoridades de la Unión Europea. sino también por las inherentes complejidades de sus sistemas políticos y legales federales. es posible aseverar que existen tres distinciones esenciales entre ambos sistemas: el ám51 Estos países son: los Estados Unidos. De aquel puñado de países que proveen un “nivel adecuado de protección”. Además. El “Acuerdo de Puerto Seguro”. 95 por los países candidatos. y la Isla de Man (2003). III.338 Revista de Derecho XXXVI (1er Semestre de 2011)
de la adopción y el cumplimiento de las normas relativas a la protección de los datos personales. En las páginas siguientes revisaremos ambos casos brevemente. más recientemente. en varios países se han adoptado legislación interna o redactado propuestas de ley que reflejan los requerimientos de la Unión Europea. a efectos de permitir el libre flujo transfronterizo de datos personales. De entre estos últimos. la Unión Europea exige la adopción de la Dir. A riesgo de simplificar en exceso. Aplicación del “nivel adecuado de protección” Desde su adopción. Sin embargo. en aproximadamente quince años en vigor la Comisión ha reconocido que sólo un extremadamente reducido número de países aseguran un “nivel adecuado de protección”51. Jersey (2008). el Principado de Andorra e Israel (2009). 1. y la calificación de Argentina como un país que provee un “nivel adecuado de protección”. la Unión Europea ha promovido la implementación de la Dir. e insta por su adopción entre los países asociados y terceros países. 95 y la progresiva armonización de la normativa de Derechos interno de los países que integran el mercado interior. En cambio. Como resultado de dichos esfuerzos. Argentina. y.
en los Estados Unidos existe escaso margen para el establecimiento de una autoridad federal que regule. el derecho garantizado en la primera enmienda ha prevalecido y. promueva y supervise el cumplimiento de la normativa so52 En los Estados Unidos. Consumer Credit Reporting Reform Act (1996). la protección de los datos personales tiene un ámbito más reducido en el sistema estadounidense que en el europeo. el derecho a la vida privada carece de un expreso reconocimiento constitucional. el segundo es que el derecho a la privacidad. la opción entre un sistema de protección de los datos personales exhaustivo y general o uno fragmentario. Telecommunications Act (1996). ya que en prácticamente todos los casos en que los intereses en competencia son el derecho a la privacidad y la libertad de expresión. Driver’s Privacy Protection Act (1994). sin embargo. los Estados Unidos han adoptado un régimen fragmentario. Como resultado de ello. Aviation and Transportation Security Act (2001). tanto a nivel federal como estatal. Cable Communications Policy Act (1984). este Derecho tiene dos limitaciones significativas: la primera es la libertad de expresión. Autorregulación y autocontrol tienen un rol más relevante en el sistema legal estadounidense que en la Unión Europea. a diferencia de la Unión Europea. cada país miembro de la Unión Europea tiene una ley general de protección de datos que reglamenta el tratamiento de la información personal por el sector público y privado. En otros términos.
. a modo de ejemplo. en los Estados Unidos existe una multitud de leyes especiales. tiene eficacia y es exigible sólo respecto del sector público. Privacy Act (1974). Electronic Funds Transfer Act (1978). A pesar de la ausencia de un expreso reconocimiento constitucional. pero no así respecto de privados. y Can Spam Act (2003). y. el derecho a la privacidad ha sido relegado a un segundo lugar. las que proveen protección frente a la intrusión gubernamental en la vida privada. su protección se ha derivado de la primera. Telephone Consumer Protection Act (1991). el derecho a la privacidad ha sido reconocido como un derecho humano en los Estados Unidos52. Como resultado de ello. Estos dos factores implican que el derecho a la privacidad tiene un ámbito más limitado en los Estados Unidos que en la Unión Europea. no del privado. Video Privacy Protection Act (1988).El “nivel adecuado de protección” para las transferencias internacionales
bito del derecho a la privacidad. Sin embargo. que regulan el procesamiento de información personal en circunstancias específicas por determinadas entidades responsables de dicho tratamiento53. Right to Financial Privacy Act (1978). como todo derecho humano en el contexto del sistema jurídico estadounidense. en cambio. Electronic Communications Privacy Act (1986). y la importancia de los mecanismos de autorregulación y autocontrol. la cuarta y la decimocuarta enmiendas a la Constitución. 53 Entre el farragoso número de leyes federales y estatales. consiguientemente. pueden ser mencionadas: Fair Credit Reporting (1970). Mientras la Unión Europea ha adoptado y promovido la adopción de una exhaustiva legislación sobre protección de datos personales.
ésta usualmente tiene menos mecanismos para supervisar el efectivo cumplimiento de la ley en relación a aquéllos de que disponen las autoridades europeas. sino que las organizaciones estadounidenses que desean ser receptoras de datos personales provenientes de la Unión Europea deben aceptar voluntariamente la aplicación del Acuerdo. tales como recursos independientes. las entidades partícipes de la iniciativa adoptan mediante autorregulación. procedimientos de monitoreo. A través de su adhesión al “Acuerdo de Puerto Seguro”. el cual intenta reconciliar ambos sistemas a través de la provisión de un “nivel adecuado de protección” los datos personales transferidos desde la Unión Europea a los Estados Unidos54. donde la existencia de una autoridad tal es considerada un elemento esencial para la protección de los datos personales. los cuales básicamente reconocen los derechos de los titulares de datos personales.htm> (última visita: 29 de enero de 2010).
. y sanción de infracciones.export. establecen principios aplicables al procesamiento de la información. el procesamiento de los datos que provienen de la
54 El “Acuerdo de Puerto Seguro” y sus anexos están disponibles en el sitio web del Departamento de Comercio de los Estados Unidos. mientras que los reportes. Las diferencias antes mencionadas hacen un tanto complicado para las autoridades de la Unión Europea autorizar la transferencia de datos personales hacia los Estados Unidos. En otros términos.europa. A efectos de evitar el bloqueo a la transferencia de datos. medidas de reparación. en vez de que por ley. Incluso en aquellos casos en que existe alguna autoridad pública competente en los Estados Unidos. dichas entidades deben adoptar mecanismos para garantizar la efectiva aplicación de los mencionados principios. en <http://www. y responsabilidad para el caso de infracción. Además. las reglas aplicables al tratamiento de datos y los medios para asegurar su efectiva aplicación. y notificar este al Departamento de Comercio de los Estados Unidos. El “Acuerdo de Puerto Seguro” no es legalmente obligatorio o exigible per se. opinión y decisión de las autoridades de la Unión Europea están disponibles en <http://ec. a diferencia de la Unión Europea. imponen obligaciones en los responsables de tratamiento.340 Revista de Derecho XXXVI (1er Semestre de 2011)
bre protección de datos personales. los organismos asumen la obligación de cumplir con varios principios relativos al tratamiento de datos personales. eu/justice_home/fsj/privacy/thridcountries/index_en. Dicha notificación debe ser renovada anualmente.gov/safeharbor/> (última visita: 29 de enero de 2010). la Unión Europea y los Estados Unidos trabajaron intensamente durante la segunda mitad de los años noventa en negociaciones que. incluyendo información básica sobre la organización. un país que no satisface el estándar de adecuación en el nivel de protección que provee a los datos personales. certificar su compromiso. concluyeron con la adopción del “Acuerdo de Puerto Seguro”. finalmente.
2000). 181-189. otros en los cuales sus principios son aplicables sólo parcialmente. tal como en telecomunicaciones y transporte.El “nivel adecuado de protección” para las transferencias internacionales
Unión Europea. una competencia residual o concurrente con otras autoridades.html> (última visita: 5 de mayo de 2010). y.597 organizaciones registradas en Puerto Seguro sólo 348 reunían los requisitos básicos previstos en los Acuerdos de Puerto Seguro. The US Safe Harbour-Fact or Fiction?. en principio. Véase: Galexia. el aún reducido número de organizaciones que han adherido57.com/public/about/news/about_news-id143. 56 Muñoz. el amplio margen para la autorregulación.597 organizaciones registradas en Puerto Seguro. algunas disposiciones aplicables a circunstancias especiales. el limitadísimo “enforcement”. tales como las actividades periodísticas. Sin embargo. pp. en estos casos la FTC tiene. ya que anticipaba la posibilidad de armonizar los marcos normativos de los Estados Unidos y de la Unión Europea56. de las 1. también. en el mejor de los casos. el Departamento de Comercio de los Estados Unidos ha designado a la Federal Trade Commission (FTC) como autoridad supervisora. Santiago. tales como el procesamiento de datos personales en el contexto de una relación laboral. Ibíd. la FTC carece de competencia cuando la información tiene otros propósitos. el “Acuerdo de Puerto Seguro” creó optimistas reacciones. a diciembre del 2008. el mosaico de autoridades de supervisión. disponible en <http:// www. la Office of Thrift Supervision. el tiempo ha permitido apreciar los reales efectos del Acuerdo: la multiplicidad de las disposiciones legales aplicables. La misma organización o terceras partes verifican el cumplimiento de las obligaciones asumidas.
. Sin embargo. y las políticas de la organización a su respecto. si no que a lo menos a aquélla proveniente de la Unión Europea desde el momento de su adhesión al Acuerdo55. 57 De acuerdo a un reciente estudio realizado por Galexia. 58 De las 1.galexia. el National Credit Union Administration Board. Poder y Derecho en internet (Madrid. tales como el Federal Reserve Board. Taurus. sólo 1.109 eran efectivamente miembros. La FTC tiene competencia para enfrentar actos y prácticas injustas y defraudatorias que afectan el comercio. y el Departamento de Agricultura. Inicialmente. Huelga decir que las organizaciones adheridas no deben proveer un “nivel adecuado de protección” a toda la información. son factores que generan cierta decepción
El “Acuerdo de Puerto Seguro” establece algunos casos en los cuales el procesamiento de datos personales no es reglamentado por sus principios. A efectos de supervisar el cumplimiento del Acuerdo. como la fusión y la absorción de entidades. 2008. La regulación de la red. y la credibilidad del mecanismo de auto-certificación58. una empresa consultora especializada en privacidad y comercio electrónico. a pesar de los mecanismos previstos por las mismas instituciones que adhieren. el Departamento de Transporte.
Efforts to Use Airlines Passenger Data to Fight Terrorism and Other Crimes. Alveroni. y. y por su excesiva atención a los requerimientos del mercado. han constituido barreras para el libre flujo de información desde la Unión Europea a los Estados Unidos. véase: Manny. En referencia a la transferencia de datos personales de pasajeros y abogando por un sistema ecléctico.S. pareciera ser que ni la ausencia de una autoridad de supervisión independiente ni la carencia de un régimen legal comprensivo. en Indiana Law Review. 33 (1999). ha autorizado la transferencia de datos personales desde la Unión Europea hacia ellas. consiguientemente. como veremos. 173-232. Public Affairs. Régimen legal de las bases de datos y habeas data (Buenos Aires. de 30 de octubre de 2000. en New York Times. inclusivo del tratamiento de datos efectuadas tanto en el sector público como el privado. argumentando a favor de preservar los estándares estadounidenses: Cate. y Cate. Dash. 60 Ley N° 25. Eric. Security: The Tension Between EU Data Protection Law and U. En el mismo sentido: Schwartz. 2004. 717-749.S. Reidenberg. pp. véase: Shapiro. p. The Changing Face of Privacy Protection in the EU and the U. Sells ZIPs. a similitud de la adoptada en otros países. 2001).S. Argentina. 2. Argentina adoptó su primera ley de protección de los datos personales60. Prepared Statement at Senate Committee Hearing on Internet Privacy. Europe Zips Lips. Habeas data: la protección jurídica de los datos personales (Córdoba. A favor. Alejandra. En desacuerdo. July 11. E-Commerce and Trans-Atlantic Privacy. Paul. 2001). Para una temprana sugerencia en tal sentido. 7 de agosto de 2005. 61 Gils Carbó. 47. 2001. July 11. Andrew. Conference Paper. 46. Carranza. deberían constituirlo en lo sucesivo. Así pues. Luis. The Control Revolution: How the Internet Is Putting Individuals in Charge and Changing the World We Know (Nueva York.
.S. U. similar al australiano. La nueva ley seguía muy de cerca las provisiones de la ley española de 199261. pp. 1999). Joel.326 sobre Protección de los datos personales. ni. A pesar de las limitada utilidad del “Acuerdo de Puerto Seguro”.. p. pero abogando por la adopción de un tratado sobre la materia. EU Privacy and U. 2001. como resultado. 38 (2001). o a lo menos capaz de armonizar las distintas políticas existentes en la materia. Algunos autores abogan por la adopción de una autoridad de supervisión federal. especialmente en conexión con el procesamiento de información personal. Fred. en Houston Law Review. la Unión Europea ha reconocido a las entidades adheridas a él como proveedoras de un adecuado nivel de protección y. Fred. Carter. Prepared Statement at Senate Commerce Committee Hearing on Internet Privacy.342 Revista de Derecho XXXVI (1er Semestre de 2011)
sobre la eficacia del “Acuerdo de Puerto Seguro” y el nivel de protección que este proveería para los datos personales59. La adecuación de Argentina El 2000. la ley argentina tiene un alcance general y aplica al tratamiento automatizado y manual de datos personales efectuados por el
59 El sistema estadounidense ha sido seriamente criticado por la insuficiente protección que brinda al derecho a la privacidad.
pdf> (última visita: 26 de enero de 2010).
. 95 de la Unión Europea. pp.europa. Para algunos autores. tales como aquellas relativas al ámbito de aplicación. Disponible en <http://ec. Adicionalmente. Brussels. UNAM. incluso si ellos no fueron destinados a tal propósito inicialmente. 151153. (n. la Unión Europea declaró que. Habeas Data: Ley 25. p.
Artículo 1 Ley N° 25. Adicionalmente. 5.eu/ justice_home/fsj/privacy/docs/adequacy/decision-c2003-1731/decision-argentine_ en. va aún más lejos en su argumento. la autoridad de la Unión Europea observó que existen ciertas excepciones para la transferencia transfronteriza de datos personales en la legislación de Argentina que no garantizan un “nivel adecuado de protección” al ser más amplias que aquellas previstas en la Directiva. otros.: Uicich. Opinion 4/2002 on the Level of Protection of Personal Data in Argentina.326.OJ L 168. Commission Decision of 30/06/2003 pursuant to Directive 95/46/EC of the European Parliament and of the Council on the adequate protection of personal data in Argentina. 2008). 64 Commission of the European Communities. Argentina garantiza un “nivel adecuado de protección”64. Puccinelli. 11081/02/EN/ Final WP 63. a diferencia de la Dir.2003. en cambio. Decreto N° 1558/2001 Reglamentación de la Ley N° 25. Véanse e. cit. mediante decreto presidencial..El “nivel adecuado de protección” para las transferencias internacionales
sector público y el privado y.326 y Decreto 1558/01 Comentados (Buenos Aires. y que la ley no incluye a favor del titular de datos personales el derecho a no ser objeto de decisiones de relevancia jurídica basadas exclusivamente en el tratamiento automatizado de datos (artículo 15 de la “Directiva de protección de datos”). 91-92 y 255-256. Astrea. pp. Luis. 2001). Tres años más tarde.g. los derechos del titular de datos personales. En general. pp. 11-12. puede agregarse que existe una extensa discusión entre expertos argentinos en cuanto a definir el ámbito de aplicación de la ley en relación con las bases de datos privadas.326 Comentada y Anotada (Buenos Aires. Protección de datos personales: Ley 25. entienden que ello incluye los bancos de datos privados que proveen dichos informes. 65 Article 29. Protección de datos de carácter personal (Buenos Aires. y las obligaciones de las entidades responsables de dicho tratamiento65. la ley de Argentina cumple con todos los requerimientos sustantivos que la Unión Europea suele constatar en su examen. al analizar la seguridad del país. la Constitución y la ley parecen limitar su ámbito de aplicación a “registros o bancos de datos [. Basterra.326. adopted on 3 October 2002. 29 de noviembre de 2001. De hecho. 49. Marcela. sugiriendo que la expresión “informes” puede ser entendida como una limitación adicional al ámbito de aplicación de la ley. C(2003) 1731 of 30 June 2003 . Rodolfo. Data Protection Working Party. Oscar. 27 y 140. a pesar de algunos puntos débiles. 61). 2004). Ad Hoc. Carranza.] privados destinados a proveer informes”. Entre las disposiciones sustantivas. se creó un servicio público que supervigilaría el cumplimiento de la ley: la Dirección Nacional de Protección de los Datos Personales (DNPDP)63.7. pp. los principios generales aplicables al tratamiento de datos. la ley aplica tanto a los datos concernientes a personas naturales como a personas jurídicas62.. el Grupo del artículo 29 sobre Protección de Datos constató un satisfactorio nivel de protección en las disposiciones sustantivas.
la Unión Europea escogió esto último. 65). por razones presupuestarias69. Oscar. porque está apenas establecida por una disposiciones reglamentaria que es. Marcela. el decreto establece que la DNPDP “ejercerá sus funciones con plena independencia y no estará sujeto a instrucciones”. y la urgencia de implementar la normativa sobre medidas judiciales a nivel de las provincias66. Inicialmente. pero no existe consenso entre la literatura argentina de que el estándar adoptado en el país satisfaga una independencia funcional. por definición. la propuesta de ley que devino en la ley de protección de datos establecía una autoridad con “autonomía funcional”. com>. Habeas data: protección de los datos personales: ley y reglamentación (Santa Fe. Abrams. El propósito del decreto era garantizar independencia funcional a la DNPDP. Veto y Promulgación de la Ley Nº 25. disponible en <http://www. De acuerdo a los dichos del profesor Omer Tene. como un servicio público dependiente del Ministerio de Justicia y Derechos Humanos70. ésta no es garantía suficiente. 70 La DNPDP es una dependencia de la Secretaria de Justicia y Asuntos Legislativos que depende del Ministerio de Justicia y Derechos Humanos. por Martin E. pp. 2002). de acuerdo al reporte elaborado por el Grupo del artículo 29 sobre Protección de Datos.558/2001. Basterra. 252. 7
. la necesidad de crear agencias de control. pp. article 29 Working Party’s Recommendation on Israel’s Data Protection Law. (n. 65). Oscar. (n.326. cit. incapaz de derogar
y 14. y Puccinelli. cit. Carranza.
Article 29. cit. quien brindó asesoría al gobierno de Israel en el proceso. 30 de octubre de 2000. cit. A efectos de garantizar su independencia. Véase el article 29. 130-131. pp. 500-503. el cual N° 1.2 del Decreto N° 1558/2001). (n. hay tres dificultades asociadas con su cumplimiento: la ausencia de una autoridad de protección de datos independiente. Entrevista con Omer Tene. La autoridad sobre protección de datos de la Argentina no es independiente67. 361-363. la ley argentina ha suscitado varias cuestiones en torno a su efectivo cumplimiento. pp. En el mismo sentido. Data Protection Working Party. 68 Decreto N° 995/2000. 443 – 444. cit. 19 de marzo de 2010 (última visita: 29 de enero de 2010). Opinion 6/2009 on the Level of Protection of Personal Data in Israel. pp.1 del Decreto N° 1. 71 Gozaní. Osvaldo.344 Revista de Derecho XXXVI (1er Semestre de 2011)
Sin embargo. En particular. Argentina. 443-447 y 629-640. Rubiznal-Culzoni./2001). nuevamente a través de un decreto presidencial. Opinion 4/2002. sin embargo. adoptado el 1 de diciembre de 2009. 65). ni financiera ni administrativa71. pp. Luis. Data Protection Working Party. pero ello fue eliminado a través de veto presidencial68. 69 Puccinelli. al enfrentar el dilema entre independencia o enforcement. 61). (n. (n. 02316/09/EN WP 165.
67 Es interesante constatar que la falta de independencia de la autoridad de supervisión no ha sido un obstáculo para la calificación de Israel como un país que ofrece un “nivel adecuado de protección”. El Director Nacional de la DNPDP es designado por el Ejecutivo (artículo 29. 65).huntonprivacyblog. Mas tarde. la DNPDP fue creada. artículo 29.
catedrática argentina en la materia. 75 Artículo 43. 78 Basterra. Uicich. cit. no ley provincial. cit. Marcela. 61). y los asuntos provinciales quedan fuera de su competencia. Régimen legal de los datos personales y habeas data: comentario a la Ley 25. cit. 65). la competencia de la DNPDP está limitada a asuntos federales.php> (última visita: 27 de enero de 2010). Al año 2008. En el mismo sentido. lo cual explica porqué la ley se limita a “invitar a las provincias a adherir” a las disposiciones federales73. 570. lo cual pone en riesgo la efectiva existencia de un “nivel adecuado de protección” para los datos personales. estas disposiciones son ley federal. de acuerdo a Marcela Basterra. Como resultado de ello. cit. p.Lexis-Nexis. p. existe la intensión de crear una red territorial con otros servicios públicos. Marcela. 74 Basterra. Guillermo.326. de hecho. 65). (n. Sin embargo.2 de la Constitución de la Nación Argentina. (n. (n. p. 73 Artículo 44 de la Ley N° 25. (n. especialmente en consideración a su trabajo controlando la enorme cantidad de bases de datos de responsabilidad del Ejecutivo. 154-155.senado. 65). Marcela.ar/web/interes/constitucion/english. La implementación de leyes disponiendo por recursos judiciales a nivel de provincias es aún un tema sin resolver en Argentina. cit. Ibíd. (n. de acuerdo a Basterra.El “nivel adecuado de protección” para las transferencias internacionales
Argentina todavía necesita crear agencias de control a nivel de las provincias. Rodolfo. Marcela. Osvaldo. solamente dos tercios de las constituciones provinciales y menos de un tercio de la legislación provincial habían introducido las modificación requeridas78. pp. 65). 65). 2002). Sin embargo. cit. 361. (n. particularmente aquéllas que garantizan el debido proceso. p. 77 Artículo 44 de la Ley N° 25. Véase: Gozaní. 72 Basterra.326 y a la reglamentación adoptada por Decreto 1558/01 (Buenos Aires. cit. 79 Sin embargo. es competencia de cada provincia adoptar leyes sobre la materia76. cit. 65). 111-194. 444. como resultado. Puccinelli. 185. 54. En el mismo sentido. p. Para superar los inconvenientes creados por la ausencia de agencias de control en las provincias. cit. denominado habeas data75. Marcela.
disposiciones legales. Carranza. conspirando decisivamente contra la plena independencia. pp. La ley de protección de datos personales ha extendido el ámbito de aplicación y adoptado reglas procesales para tal recurso. 76 Basterra. lo cual explica la “invitación a adherir” que hace la ley federal77. O. Luis. 194. Peyrano. actualmente no existe tal categoría de agencias ni la mencionada red. p. la eficacia del habeas data ha sido socavada79. 505. 65).. (n. p. La Constitución Federal garantiza un recurso judicial para proteger al titular de los datos personales.326. Depalma . una vez éstos hayan sido creados74.gov. al menos las
. Disponible en <http:// www. (n. asegura que el sistema no garantiza una mínima independencia de criterio ni la necesaria estabilidad de su Director. La normativa de la DNPDP es ley federal pero no provincial72.
disposiciones federales deberían aplicarse suplementariamente al Derecho provincial. 80 Article 29. la disponibilidad de apropiados mecanismos para compensar a una parte afectada. la opinión del Grupo del artículo 29 sobre Protección de Datos acerca del nivel de protección argentino hace suponer que los miembros del grupo no estaban totalmente satisfechos con sus hallazgos. la autoridad europea concluyera que Argentina garantiza un satisfactorio nivel de cumplimiento con los estándares requeridos por la Unión Europea. mediante sanciones administrativas y criminales efectivamente disuasivas. ¿Será posible a partir de ellos pronosticar las decisiones de la Unión Europea en el caso de otros países a futuro? ¿Cómo pueden dichas decisiones ser entendidas y armonizadas en el contexto del GATS? ¿Puede la aplicación del estándar “nivel adecuado de protección” por la Unión Europea ser desafiado ante la Organización Mundial de Comercio? Responder a estas preguntas es especialmente importante para aquellos países que esperan ser reconocidos como seguros. pp.
. Para obtener tal resultado. 65). La decisión de la Unión Europea sobre el nivel de protección a los datos personales proporcionado en la Argentina y el “Acuerdo de Puerto Seguro” con los Estados Unidos pueden ser analizados como parte de un cuadro mayor. Data Protection Working Party. En verdad. el suministro de soporte y ayuda a los titulares de datos individuales para el ejercicio de sus derechos a través de accesiones judiciales generales. y también para aquéllos que objetan la política de la Unión Europea en materia de privacidad.346 Revista de Derecho XXXVI (1er Semestre de 2011)
Es a lo menos impresionante que. con la economía argentina padeciendo la peor crisis de su historia. el llamado “corralito”. cit. (n. la decisión de la Unión Europea puede ser vista como una concesión a la debilitada economía del país. no podemos prescindir del escenario en el cual la decisión fue fraguada. En tal contexto. Opinion 4/2002. Adicionalmente. p. Responder a dichas preguntas es el propósito de las siguientes páginas. 1316. 81 Ibíd. que congeló completamente las cuentas bancarias del país por casi un año. a pesar de los problemas antes mencionados. a fin de superar un significativo obstáculo para atraer inversión extranjera. el Grupo del artículo 29 sobre Protección de Datos apreció: un buen nivel de cumplimiento con las reglas. mediante la aplicación de las reglas generales sobre responsabilidad que son comunes a los países que siguen la tradición del Derecho civil europeo80. 17. y. cuando el Grupo del artículo 29 sobre Protección de Datos analizó los mecanismos de cumplimiento y procedimentales previstos en la ley argentina. particularmente si ésta suponía algún tratamiento de datos personales proveniente de Europa. pero esperaban que la real y efectiva aplicación de la ley ratificarían los resultados positivos de su evaluación81..
que. socavando las metas de la política pública implicada en las leyes sobre protección de los datos personales. Como resultado de lo dicho. ya que. y posteriormente. el “principio de la nación más favorecida”. estos principios consagran un tratamiento no discriminatorio entre servicios nacionales y extranjeros. dispone: “Excepciones generales. De este modo.
Artículo XVII GATS. Artículo II GATS. es relevante traer a colación dos de dichas obligaciones: el “principio de trato nacional”. En síntesis.El “nivel adecuado de protección” para las transferencias internacionales
IV. A efectos de cumplir con su objetivo. el GATS garantiza un tratamiento no discriminatorio entre los miembros de la OMC. el Acuerdo General sobre el Comercio de Servicios (GATS). un país podría adoptar medidas discriminatorias entre los servicios provistos por sus propios nacionales y aquéllos suministrados por extranjeros. un país podría verse impedido de adoptar restricciones en el flujo transfronterizo de datos personales. las cuales son hechas cumplir por la Organización Mundial de Comercio (OMC). en 1948 fue adoptado el Acuerdo General sobre Aranceles Aduaneros y Comercio (GATT). en 1995. tratados multilaterales que establecen las reglas que gobiernan el comercio internacional. una de ellas relacionadas con la protección de la privacidad de las personas en relación con el procesamiento y diseminación de sus datos personales84. particularmente aquellos concernientes a asegurar un justo y equitativo trato entre todos los partícipes del comercio internacional. el GATS ofrece algunas excepciones que permiten adoptar medidas de política pública inconsistentes con las obligaciones del mismo GATS. de acuerdo al cual cada miembro dará inmediata e incondicionalmente a cualquier otro miembro un tratamiento no menos favorable que aquél provisto a cualquier otro miembro83. en lo pertinente. así como entre estos últimos. Para evitar que ello suceda. Las leyes sobre protección de datos personales podrían infringir ciertas provisiones del GATS. o realizar tal tipo de distinción entre los servicios prestados por nacionales de otros países. y. a través del cumplimento de varias obligaciones. A reserva de que las medidas enumeradas a continuación no se apliquen en forma que constituya un medio de discriminación arbitrario o injustificable entre países en que
. al requerir un determinado estándar de protección para la información. que requiere que cada miembro no adoptará medidas discriminatorias entre servicios nacionales y extranjeros82. con el propósito de evitar el proteccionismo y garantizar un régimen de libre comercio. Para efectos de nuestro análisis. El “nivel adecuado de protección” En el contexto del Gats Considerando las causas de la Segunda Guerra Mundial. 84 Artículo XIV c) (ii) GATS.
Van Der Borght.C. Law Library of Congress. 2005).. (n.. 88 Swords.C. EU: Privacy and Personal Data Protection. 486. pp. Economic and Political Analysis (Nueva York. 157. 2007). Colleen. No existe acuerdo entre los expertos sobre si las excepciones contempladas en el artículo XIV son una lista abierta o cerradas de hipótesis89. 191.
prevalezcan condiciones similares. pp. en Macrory. 1998). Progress Report to the General Council”. 2005). en Byttebier. y la letra c) en particular. 40 (2002). p. At the Department of Foreign Affairs in 2001-2.. Kin (editores). véase: Footer. ninguna disposición del presente Acuerdo se interpretará en el sentido de impedir que un Miembro adopte o aplique medidas:/ [. y otros (editores). The World Trade Organization: Legal.Howse. J. En nuestro concepto.]/ ii) la protección de la intimidad de los particulares en relación con el tratamiento y la difusión de datos personales y la protección del carácter confidencial de los registros y cuentas individuales. Robert.. Sin embargo. véase: Papademetriou. p. Michael . Koen . p. Peter . Carol.. 86 Véase: “Work Programme on Electronic Commerce. None of Your Business: World Data Flows. The Regulation of International Trade (3ª edición. Jan . Markus. Trebilcock. con inclusión de los relativos a:/ [. [. De acuerdo con dicha interpretación. 33. 27 July 1999.
. and the European Privacy Directive (Washington. ella está sujeta a varios test establecidos en el artículo XIV del GATS a efectos de prevenir un abuso de las excepciones86. cit. The General Agreement on Trade and Services.George.Litan. p. Routledge. Mary . Springer. a pesar de algunas diferencias. 89 Existe desacuerdo entre los expertos en torno a si las excepciones establecidas en el artículo XIV.]/ c) necesarias para lograr la observancia de las leyes y los reglamentos que no sean incompatibles con las disposiciones del presente Acuerdo. 85 Swire. pero formulando un test de dos pasos. 2002). The Brookings Institution. The Good New Press.. National Regulation and Trade Liberalization in Services: Legal Impact of the General Agreement on Trade and Services (GATS) on National Regulatory Autonomy (The Netherlands. párrafo 14. Colleen. adoptado por el Consejo del Comercio de Servicios el 19 de julio de 1999. Dominic. p. constituyen una lista abierta o cerrada. 469 ss. mediante la omisión de cualquier referencia a las limitantes. D. Como resultado de ello. Patrick F. Theresa. o una restricción encubierta del comercio de servicios.348 Revista de Derecho XXXVI (1er Semestre de 2011)
el GATS autoriza la adopción y el efectivo cumplimiento de medidas de política pública en principio inconsistentes con el Acuerdo. la apropiada interpretación del artículo XIV requiere que una determinada medida cumpla con un triple test87: i) La medida debe ser alguna de aquellas previstas en el artículo88. la excepción para protección de datos no es ilimitada85. los autores suelen estar de acuerdo en que.. 87).Coppens. Wounters.. 362. es posible usar el primer instrumento para interpretar el segundo de ellos: Krejewski. 2003). Kluwer Law International.]”. 799 ss. y Swords. Con sugerencia de una lectura más permisiva. p. I. Londres. 87 El artículo XX GATT sirvió de modelo al artículo XIV GATS. 6. en Canadian Yearbook of International Law. WTO Obligations and Opportunities: Challenges of Implementation (Gran Bretaña. Domestic Regulation Within the Framework of GATS. Electronic Commerce. the “Safe Harbor” Agreement (Washington. D. Sin embargo. Robert. WTO document S/L/74.
Markus. Wunsch-Vincent. en la mayor parte de los casos. 87).AB-2005-1 .131. 32 (2006-2007). 2008). cit. 1. Wunsch-Vincent. la medida ha balanceado dos factores: la contribución de la medida a la realización de los fines propuestos para ella y la restricción que la medida impone al comercio internacional. GATS and the Regulation of International Trade in Services (Nueva York. Donald. The Meaning of ‘Necessary’ in GATT Article XX and GATS Article XIV: the Myth of Cost-Benefit Balancing. Irem.AB-2005-1 . ya que. De hecho. Véase: “U. En desacuerdo con el test de necesidad: Regan. p. cit. como ha sido recientemente resuelto en el llamado “Gambling case”92.
. y Petrova. Albena. The WTO Internet Gambling Dispute as a Case of First Impression: How to Interpret Exceptions Under GATS Article XIV (a) and How to Set the Trend for Implementation and Compliance in WTO Cases Involving “Public Morals” and “Public Order” Concerns? en Richmond Journal of Global Law and Business. el GATS establece expresamente que ninguna disposición del Acuerdo se interpretará en el sentido de impedir que un Miembro adopte o aplique medidas “necesarias” para asegurar el cumplimento con la ley. pp. el test de necesidad no requiere que no exista una medida alternativa consistente con las obligaciones de la OMC “razonablemente disponible”93. 7 April 2005. WTO document WT/DS285/AB/R. Necessity Test in WTO. 89). cualquier medida específica –en nuestro caso. Taking a Gamble on Public Morals: Invoking the Article XIV Exception to GATS.S. En adición.Report of the Appellate Body”. Jan . (n.El “nivel adecuado de protección” para las transferencias internacionales
dicha discusión es irrelevante para los propósitos de analizar las medidas para asegurar el cumplimiento de las leyes o regulaciones sobre protección de la privacidad de las personas en relación con el procesamiento y diseminación de los datos personales. (n. Sin embargo. 45. WTO document S/WPDR/ W/27. WTO document WT/ DS285/AB/R. véanse: Dogan. en World Trade Review 6 (2007) 3.-Measures Affecting the Cross-Border Supply of Gambling and Betting Services . Markus. (n. 347– 369. cit. una medida que restringe el flujo transfronterizo de datos personales basada en consideraciones de privacidad– debe
Véanse: Krejewski. Krejewski. 7 April 2005. Sacha. pp. (n. 6 (2006-2007). en Panizzon -Pohl .S. en Brooklyn Journal of International Law. p. 91 Wounters. 157-161. p.Coppens. 93 Véase: “U. cit. Sacha. 87). iii) La medida debe ser consistente en su aplicación. Para satisfacer el test de necesidad. p. Trade Rules for the Digital Age.Report of the Appellate Body”. a diferencia del GATT. párrafos 306 ss. párrafo 292. 92 Para una completa explicación del artículo XIV GATS. 87). Cambridge University Press. 504-505. en el contexto del conocido “Gambling case”. 33. 504. Véase: Working Party on Domestic Regulation. 2 December 2003. pp.-Measures Affecting the Cross-Border Supply of Gambling and Betting Services . ellas están previstas expresamente en el artículo XIV c) (ii) del GATS90. Dominic. ii) La medida debe satisfacer el test de necesidad91. 159.Sauvé (editores). 90 Una parte debe probar un vínculo o conexión entre la medida específica y el interés previsto en el GATS. p.
una hipótesis que los autores rechazan para el caso de la Directiva. algo bastante difícil de
. y ii) cuando la ley impone una carga significativamente desproporcionada en un tercer país y no hay una adecuada justificación que no sea meramente proteccionista. Peter Swire y Robert Litan han identificado cuatro hipótesis en las cuales las medidas adoptadas para asegurar el cumplimiento de las leyes o regulaciones relativas a la protección de la privacidad podrían infringir el GATS mediante su real aplicación práctica. a pesar de carecer de un régimen general que garantice un “nivel adecuado de protección”97. La prohibición de “discriminación arbitraria o injustificable” aplicada generalmente obliga a las autoridades gubernamentales a aceptar los estándares adoptados por otros países miembros de la OMC. al analizar las recomendaciones provistas por el Grupo del artículo 29 sobre Protección de Datos95.
Krejewski. y considerando el estándar de adecuación de la Unión Europea. y. la última hipótesis recién mencionada no constituye un test sobre la medida en sí. Por su parte. De acuerdo a Krejewski Markus. Markus. 97 Los mencionados autores agregan otros dos casos: i) cuando una específica ley de protección de datos es en los hechos una disfrazada restricción al comercio de servicios. sino sobre su aplicación. 95 sobre Datos Personales y las autoridades de la Unión Europea han introducido suficientes flexibilidades. para efectos de determinar tal nivel. cit. 87). En nuestro caso. 24 July 1998. y la obstaculización a las transferencias de datos hacia un país que provee adecuado nivel de protección a ciertos individuos (o en determinados casos). De ellas. es posible apreciar que la Unión Europea no exige de terceros países exactamente el mismo nivel de protección que el provisto por sus propios miembros. Working Document: Transfers of Personal Data to Third Countries: Applying Articles 25 and 26 of the EU data protection directive. sino un nivel adecuado96. o una “restricción encubierta del comercio de servicios”. a través de un abuso de las excepción. las que obstan a calificar dichas recomendaciones como una discriminación arbitraria o injustificable per se. ya sea su aplicación general o su aplicación práctica. la Dir. De acuerdo al encabezado del artículo XIV. si ellos son “de una efectividad comparable”94.350 Revista de Derecho XXXVI (1er Semestre de 2011)
ser aplicada en una manera que no infringe el GATS. DG XV D/5025/98 WP 12. Working Party on the Protection of Individuals with regard to the Processing of Personal Data. una medida no puede ser aplicada en un modo que podría constituir una “discriminación arbitraria o injustificable” entre países en que prevalezcan condiciones similares. 162. 96 Aquí hace sentido la distinción entre niveles de protección “adecuado” y “equivalente”. p. dos parecen relevantes: la determinación por las autoridades europeas de que un tercer país no brinda una protección adecuada pese a disponer una fuerte protección legal y práctica de la privacidad. (n.
a pesar de que éste no provee adecuación en su régimen de protección de la privacidad en general. en caso contrario. solamente ha creado un servicio público bajo la dependencia del Ministerio de Economía100.. publicada en el Diario Oficial el 18 de agosto de 2008. pp. la que. Como un pequeño estado unitario. Sin embargo.Litan. Article 29 – Data Protection Working Party. Opinion 6/2010 on the Level of Protection of Personal Data in the Eastern Republic of Uruguay. disfruta de varias –si no de todas– las ventajas de Argentina. Peter . Uruguay podría reclamar en contra de la autoridades de la Unión Europea por una arbitraria e injustificable discriminación. pp. en Computer Law & Security Report (31 de enero 2002). La segunda hipótesis de desafío para el estándar de la Unión Europea podría presentarse en caso de que ciertos individuos (o transferencias) recibiesen un adecuado nivel de protección en un tercer país. a su vez. Lucas. Al igual que su país vecino.El “nivel adecuado de protección” para las transferencias internacionales
La primera hipótesis de desafío para el estándar de la Unión Europea podría presentarse en el caso de adoptarse una decisión de inadecuación respecto de un tercer país que tiene una protección legal y práctica de la privacidad más fuerte que otro país que ha sido calificado de adecuado previamente. lo cual permite vaticinar que próximamente tal país obtendrá dicho reconocimiento por las autoridades de la Unión Europea.331 Protección de datos personales y acción de habeas data personales. 98 Recientemente. supongamos que Uruguay desea ser reconocido como un país que provee un adecuado nivel de protección para los datos personales98. En desacuerdo. a pesar de carecer de una autoridad independiente que supervise el cumplimiento de la ley. (n. el Grupo de Trabajo en Protección de Datos ha emitido opinión calificando el nivel de protección brindado por Uruguay como adecuado. EU Data Protection Policy: The Privacy Fallacy: Adverse Effects of Europe’s Data Protection Policy in an Information-Driven Economy. 192-193.331. puntualizando que dichas hipótesis pueden ser encontradas en la política de la Unión Europea: Bergkamp. 31-47. Uruguay facilita nuestro análisis y la implementación de su ley. ya que la Unión Europea ya ha aceptado que un país provee un “nivel adecuado de protección”.
. Para ejemplificar esto. 0475/10/EN WP 177. la cual en general sigue la normativa de la Unión Europea99. Vid. Uruguay no ha establecido una autoridad de protección de datos independiente. depende de la Presidencia de la República. esta última circunstancia no debería ser un obstáculo para el reconocimiento de Uruguay como un país que ofrece un “nivel adecuado de protección”. Robert. Swire. Nuevamente a modo de ejemplo. adopted on 12 October 2010. Uruguay adoptó una ley sobre protección de datos. 99 Uruguay adoptó la Ley N° 18. El 2008. supongamos que Chile decide
acreditar en la práctica. como país depositario de la tradición del Derecho civil. cit. artículo 32 Ley N° 18. 85). 100 La Unidad Reguladora y de Control de Datos Personales depende de la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento (AGESIC).
segundo. tercero. y a la Ley N° 20. pp. Para una sucinta explicación de los principales desafíos para la legislación chilena a efectos de proveer un “nivel adecuado de protección” de acuerdo a los estándares de la Unión Europea. Ediciones UDP.352 Revista de Derecho XXXVI (1er Semestre de 2011)
que. Sin mencionar el hecho de que Chile dispone de una ley general sobre protección a la vida privada. implementará una suerte de “puerto seguro” similar al adoptado en los Estados Unidos. Parecería que dichas autoridades deberían aprobar la propuesta chilena y que no podrían rehusarla sin adoptar una decisión arbitraria o injustificadamente discriminatoria.628. sobre acceso a la información pública (Boletín: 6120-07). el Consejo para la Transparencia desempeña tal rol. las autoridades de la Unión Europea usan criterios flexibles. al introducir un proyecto de ley en el Congreso Nacional mediante el cual se modifica la ley de protección de datos en vigor de acuerdo a los estándares de la Unión Europea y de la OCDE. sobre protección de la vida privada.
. en marzo de 2008. 13-22. En consecuencia. a efectos de proveer un “nivel adecuado de protección” a los datos personales provenientes de la Unión Europea101. Vid. Chile fue el primer país latinoamericano que adoptó una ley general sobre protección de 1999. al incluir el tema en el Acuerdo de Asociación suscrito entre Chile y la Unión Europea en Bruselas. el 18 de noviembre de 2002. 102 De hecho. Moción legislativa que Introduce modificaciones la Ley N° 19. que reglamenta el tratamiento de datos personales en el sector público y privado102. 2009). como ha sido mencionado previamente. Adicionalmente. como respuesta a un complejo análisis de cada sistema legal. Raúl. en octubre del 2008. en cualquier caso. Sin embargo. pues la Unión Europea ya ha aceptado que las transferencias de datos personales a un país que no provee un “nivel adecuado de protección” en general pueden tener lugar si dicho país provee protección específica para tal transferencia de datos personales. la legislación chilena careció de una autoridad pública de supervisión en la materia. por varios años. en vez de la simple revisión de la respectiva ley de protección de datos. al suscribir un acuerdo de cooperación técnica con la Agencia Española de Protección de Datos. nuestros recién mencionados casos hipotéticos deben ser leídos como un simple ejercicio especulativo. todos factores que perecen proveer más garantías a las autoridades de la Unión Europea.285. el cual aún se encuentra en tramitación legislativa ante la Cámara de Diputados.
Este caso hipotético es bastante improbable. sólo a partir del 2009. Naturalmente. véase: Arrieta. él es un estado unitario y también un receptor de la tradición jurídica del Derecho civil. la Unión Europea adopta decisiones caso a caso. y. en Chile y la protección de datos personales: ¿Están en crisis nuestros derechos fundamentales? (Santiago. al evaluar un determinado país o un determinado flujo de datos. Chile y la protección de datos personales: compromisos internacionales. aun cuando exclusivamente respecto de las entidades responsables de tratamiento de datos personales del sector público. en vez de modificar su normativa interna para ser un país que ofrece un “nivel adecuado de protección”. Sin embargo. porque Chile ha adoptado varias medidas en orden a satisfacer los requerimientos del estándar de protección de la Unión Europea: primero.
En tal contexto. el estándar de “nivel adecuado de protección” ha sido aplicado en un extremadamente reducido número de casos. es posible decir que el GATS ha anticipado los obstáculos que las normas sobre privacidad pueden implicar para el comercio internacional. Al enfrentar los desafíos recién mencionados. la Unión Europea ha adoptado una directiva comunitaria que regula el procesamiento de datos personales. que permite
. De hecho. satisface las disposiciones del GATS. las decisiones previas de la Unión Europea suscitan un cuestionamiento legítimo acerca de si serán sustentadas consistentemente en futuros casos. las autoridades de la Unión Europea han adoptado un criterio flexible que requiere la adopción y el cumplimiento de normativa sobre protección de los datos personales. pero también para evitar la adopción de barreras innecesarias al libre movimiento de tal información. De ellos. manteniendo los flexibles criterios mostrados en el “Acuerdo de Puerto Seguro” con los Estados Unidos y la calificación de Argentina como un país que ofrece un “nivel adecuado de protección” a los datos personales. al armonizar el estándar de adecuación de la Unión Europea con las obligaciones de la OMC. a su vez. Para determinar dicha adecuación.El “nivel adecuado de protección” para las transferencias internacionales
teóricamente a lo menos. que eventualmente podrían infringir las obligaciones de los países miembros de la OMC. Conclusiones El creciente flujo transfronterizo de datos personales muestra la urgente necesidad de adoptar una aproximación internacional a efectos de garantizar un apropiado nivel de protección para las personas concernidas por la información. o una restricción encubierta del comercio de servicios. el acuerdo GATS tolera la adopción de medidas en principio inconsistentes con los principios de la OMC. En síntesis. si ellas son necesarias para asegurar el cumplimiento de las leyes sobre protección de la privacidad de las personas en relación con el tratamiento y la diseminación de datos personales. los más relevantes parecen ser el “Acuerdo de Puerto Seguro”. la cual prohíbe el flujo transfronterizo de datos personales hacia terceros países que no garantizan un “nivel adecuado de protección”. ni la complejidad ni la flexibilidad autorizan a la adopción de una decisión que aplica criterios basados en una discriminación arbitraria o injustificada. Desafortunadamente. con sus nocivos efectos para una economía global e interconectada. V. lo cual. tales medidas no puede ser aplicadas en un modo que podría constituir un medio de discriminación arbitrario o injustificable entre países en que prevalezcan condiciones similares. Sin embargo. o bien si la Unión Europea reculará respecto de ciertos requerimientos a riesgo de un caso ante la OMC.
en un significativo número de las provincias. En el caso de Argentina. la protección es aún fragmentaria. ni la ausencia de una autoridad de supervisión independiente ni la carencia de un régimen legal comprensivo. la normativa argentina parece aún insatisfactoria. En efecto. han constituido barreras para el libre flujo de información desde la Unión Europea a los Estados Unidos. como ha quedado dicho. pone en entredicho la capacidad de un país o un conglomerado de ellos para imponer unilateralmente un estándar global de
. no sucede lo mismo con los mecanismos previstos para garantizar su cumplimiento. y honrar la obligación establecida en los GATS en orden a no ejercer discriminación arbitraria o injustificable respecto de terceros países. Las decisiones de las autoridades de la Unión Europea en los casos de los Estados Unidos y la Argentina crean razonables dudas acerca de su consistencia con decisiones futuras sobre la adecuación de terceros países en relación con las provisiones de la Dir. en los permisivos términos del Acuerdo de Puerto Seguro. la ley aún requiere la implementación de sus disposiciones. 95 de Protección de Datos y el GATS. inclusivo del tratamiento de datos efectuadas tanto en el sector público como el privado. acorde a los criterios de la Dir. la autoridad nacional carece de independencia.354 Revista de Derecho XXXVI (1er Semestre de 2011)
la transferencia de datos personales desde la Unión Europea a los Estados Unidos. En el caso de los Estados Unidos. ya que ni la carencia de un régimen comprensivo de protección a los datos personales ni la relativa precariedad de los mecanismos previstos para garantizar el cumplimiento de la ley podrán constituir óbices al reconocimiento de un tercer país como uno que provee un nivel de protección adecuado. la Unión Europea ha socavado su propósito de obtener un nivel de protección adecuado cualquiera sea el lugar a que ésta exporte datos personales. en orden a cumplir con la obligación establecida en el GATS. esto es. que impide la discriminación arbitraria o injustificable entre países. Sin embargo. El dilema de la Unión Europea entre obtener un nivel de protección adecuado para los datos personales por terceros países. como resultado de ello. en lo concerniente a mecanismos de protección. y la calificación de Argentina como un tercer país que provee un “nivel adecuado de protección”. En adición a lo mencionado. ambos casos recién mencionados suscitan cuestionamiento acerca del límite concedido por la Unión Europea en su evaluación de terceros países. un requisito que la Unión Europea ha calificado de esencial para la protección de los datos personales. En primer término. si bien el país dispone de una normativa sobre protección de datos comprensiva. cuyas disposiciones sustantivas siguen muy de cerca los estándares de la Unión Europea. 95 de Protección de Datos. En este punto. la protección de los datos personales o el libre flujo transfronterizo de la información personal podían verse seriamente amenazados.
2005). Ediciones UDP. en Ius et Praxis. 2001). Fred. Economic and Political Analysis (Nueva York. Bibliografía
Alonso. 2008). Olga. Diana. Pese a la poco halagüeña experiencia en la materia. a lo menos. Kluwer Law International. Habeas Data: La protección jurídica de los datos personales (CórdobaArgentina. en Brooklyn Journal of International Law. Goldsmith.George. Dogan. La Directiva 95 Comunitaria de Protección de Datos de Carácter Personal (Pamplona. 2002). Madrid. 2003). 1995). Cate. National Regulation and Trade Liberalization in Services: Legal Impact of the General Agreement on Trade and Services (GATS. Chile y la Protección de Datos Personales: Compromisos Internacionales. Tim Who Controls the Internet: Illusions of a Borderless World (Nueva York. Alveroni Ediciones. Irem. Cate.. Luis. Estadella-Yuste.. 2006).
. y otros (editores). Aranzadi. parece necesario insistir en la construcción multilateral de. Jack . U. EU Data Protection Policy: The Privacy Fallacy: Adverse Effects of Europe’s Data Protection Policy in an Information-Driven Economy. Europe Zips Lips. en New York Times (7 de Agosto de 2005). Gozaní. Editorial Tecnos. Eric.S. 1995 – 1996). en Computer Law & Security Report (31 de enero de 2002). Mecanismos de control en la protección de datos en Europa. Springer.) on National Regulatory Autonomy (The Netherlands.El “nivel adecuado de protección” para las transferencias internacionales
protección en materia de datos personales. Alberto. Osvaldo. Fred. 2001). Alejandra. J. La protección de la intimidad frente a la transmisión internacional de datos personales (Madrid. Chile. 33 (1999). Habeas data: protección de los datos personales: ley y reglamentación (Santa Fe . en Macrory. Universidad Pontificia Comillas.Wu. Raúl. Footer. UNAM. Lucas. Taking a Gamble on Public Morals: Invoking the Article XIV Exception to GATS. Manuel. Arrieta. Protección de datos personales: Ley 25. Rubiznal-Culzoni. Markus.Argentina. en Encuentros sobre Informática y Derecho (Instituto de Informática Jurídica. Oxford University Press. The World Trade Organization: Legal. 2008). Basterra. 32 (2006-2007). en Indiana Law Review. 2009). en Chile y la Protección de Datos Personales: ¿Están en crisis nuestros derechos fundamentales? (Santiago. Prepared Statement at Senate Committee Hearing on Internet Privacy (11 de julio de 2001). Mary . Gils Carbó. The General Agreement on Trade and Services.326 y Decreto 1558/01 Comentados (Buenos Aires. Carol. Cerda Silva. un mínimo común denominador internacional para lograr simultáneamente una apropiada protección de los datos personales y un satisfactorio nivel de libertad para el flujo de información personal. Carranza. Patrick F. Krejewski. Heredero. Régimen legal de las bases de datos y habeas data (Buenos Aires. Bergkamp. 12 (Talca.S. Marcela. 1997). Dash. Sells ZIPs. El futuro de la protección de datos a nivel europeo. The Changing Face of Privacy Protection in the EU and the U.
The Good New Press. en Canadian Yearbook of International Law. Robert. Papademetriou. GATS. Santiago.356 Revista de Derecho XXXVI (1er Semestre de 2011)
Manny. 2001). Londres. Peter . Article XX and GATS. Oscar. Cambridge University Press.326 y a la reglamentación adoptada por Decreto 1558/01 (Buenos Aires. Protección de datos de carácter personal (Buenos Aires. WTO Obligations and Opportunities: Challenges of Implementation (Gran Bretaña. Wounters. Swords.C. D. None of Your Business: World Data Flows.S. Swire. 38 (2001). 2000). 2002). The WTO Internet Gambling Dispute as a Case of First Impression: How to Interpret Exceptions Under GATS. The Meaning of ‘Necessary’ in GATT. Puccinelli. EU: Privacy and Personal Data Protection. Law Library of Congress. Albena. EU Privacy and U. Article XIV (a) and How to Set the Trend for Implementation and Compliance in WTO Cases Involving “Public Morals” and “Public Order” Concerns?. At the Department of Foreign Affairs in 2001-2.. Public Affairs. Security: The Tension Between EU Data Protection Law and U. The Control Revolution: How the Internet Is Putting Individuals in Charge and Changing the World We Know (Nueva York. en Panizzon . 3 (2003). en Byttebier.. Kin (editores). en Houston Law Review.Sauvé (editores). Dominic. Domestic Regulation Within the Framework of GATS. Joel. 2004). Petrova. 6 (2007) 3. Article XIV: the Myth of Cost-Benefit Balancing. The Brookings Institution. Andrew. Schwartz.Van Der Borght.Howse. Routledge. Michael . The Regulation of International Trade (3ª edición. en World Trade Review. Régimen legal de los datos personales y habeas data: comentario a la Ley 25. Uicich. La regulación de la Red. 1999). Ad Hoc. 2007). Carter.
. Trebilcock. Trade Rules for the Digital Age. Sacha. Wunsch-Vincent. Koen . Electronic Commerce. Reidenberg..Pohl . Rodolfo. Ahti. the “Safe Harbor” Agreement (Washington. and the European Privacy Directive (Washington. Depalma . Shapiro. 2004). 2005).326 comentada y anotada (Buenos Aires. E-Commerce and Trans-Atlantic Privacy. Jan . Muñoz. en Revista Chilena de Derecho Informático. 2008). en Richmond Journal of Global Law and Business. Efforts to Use Airlines Passenger Data to Fight Terrorism and Other Crimes (Conference Paper.LexisNexis. Taurus. Regan.Litan. Guillermo. Colleen. 40. Donald. and the Regulation of International Trade in Services (Nueva York.C. 6 (2006-2007). 2002).S. 1998). Prepared Statement at Senate Commerce Committee Hearing on Internet Privacy (11 de julio de 2001). Peyrano. Robert. Astrea. Theresa. Habeas Data: Ley 25. Paul. (2002).Coppens. Saarenpää. Europa y la protección de los datos personales. Poder y Derecho en internet (Madrid. D.
More From This UserChile Notice TakedownCosto derechosSentenciaTC-2153-CorreosElectrónicosCerda DatosResolucion_PenaGuzmán_britoMany Faces of the Public Domain
El “nivel adecuado de protección” para las transferencias internacionales de datos personales desde la Unión Europea by clapclap8 viewsEmbedDownloadCategories: Types, Research, LawRead on Scribd mobile: iPhone, iPad and Android.Copyright: Attribution Non-Commercial (BY-NC)List price: $0.00Download as PDF, TXT or read online from ScribdFlag for inappropriate contentMore informationShow less

References: resolución 
 Artículo 28
 Artículo 22

Artículo 23
 artículo 25
 Artículo 32
 artículo 30
 Artículo 12
 artículo34
 Artículo 26
 artículo 29
 Artículo 23
 Artículo 25
 Artículo 25
 resolución 
 Artículo 1
 Artículo 2
 Artículo 25
 artículo 25
 artículo 29
 artículo 29
 artículo 29
 artículo 8
 artículo 29
 artículo 29
 artículo 29
 artículo 29

Artículo 1
 artículo 29
 artículo 29
 artículo 29
 Artículo 43
 Artículo 44
 Artículo 44
 artículo 29
 artículo 29
 artículo 29
 artículo88
 artículo 29
 artículo 32