La Comisión Europea ha aprobado el nuevo marco legal para el intercambio seguro de datos personales desde la Unión Europea (UE) hacia empresas y organizaciones en Estados Unidos, un requisito necesario para facilitar el flujo transatlántico de información sin necesidad de salvaguardas adicionales y que cubre el vacío que quedó después de que la Justicia europea anulara los dos convenios anteriores por considerar insuficiente la protección de los datos de europeos. La decisión de adecuación, acordada el año pasado por la presidenta Ursula von der Leyen y el presidente estadounidense Joe Biden, permitirá que los datos puedan circular con seguridad y ser transferidos a empresas estadounidenses como Google, Meta o Amazon sin que tengan que cumplir salvaguardas adicionales de protección de datos.
En un comunicado, el Ejecutivo comunitario ha explicado que introduce nuevas salvaguardias vinculantes para abordar todas las preocupaciones planteadas por el Tribunal de Justicia Europeo, incluida la limitación del acceso a los datos de la UE por parte de los servicios de inteligencia de EE.UU. a lo que es necesario y proporcionado, y el establecimiento de un Tribunal de Revisión de Protección de Datos (DPRC), al que los ciudadanos de la UE tendrán acceso. De igual modo, el nuevo marco introduce mejoras significativas en comparación con el mecanismo que existía bajo el Escudo de Privacidad. Por ejemplo, si la DPRC encuentra que los datos se recopilaron en violación de las nuevas salvaguardias, podrá ordenar la eliminación de los datos. Las nuevas salvaguardias en el ámbito del acceso gubernamental a los datos complementarán las obligaciones que tendrán que cumplir las empresas estadounidenses que importan datos de la UE.
«El nuevo marco de privacidad de datos UE-EE.UU. garantizará flujos de datos seguros para los europeos y aportará seguridad jurídica a las empresas de ambos lados del Atlántico. Tras el acuerdo de principio que llegué con el presidente Biden el año pasado, Estados Unidos ha implementado compromisos sin precedentes para establecer el nuevo marco. Hoy damos un paso importante para proporcionar confianza a los ciudadanos de que sus datos están seguros, para profundizar nuestros lazos económicos entre la UE y los Estados Unidos y, al mismo tiempo, para reafirmar nuestros valores compartidos. Demuestra que trabajando juntos, podemos abordar los problemas más complejos», ha declarado la presidenta von der Leyen.
De este modo, las empresas estadounidenses podrán unirse al nuevo Marco comprometiéndose a cumplir con un conjunto detallado de obligaciones de privacidad, por ejemplo, el requisito de eliminar datos personales cuando ya no sean necesarios para el propósito para el que fueron recopilados, y para garantizar la continuidad de la protección cuando los datos personales se comparten con terceros. Los ciudadanos de la UE por su lado se beneficiarán de varias vías de recurso en caso de que sus datos sean tratados indebidamente por empresas estadounidenses. Esto incluye mecanismos independientes gratuitos de resolución de disputas y un panel de arbitraje.
Además, el marco jurídico de los Estados Unidos prevé una serie de salvaguardias relativas al acceso a los datos transferidos en el marco por las autoridades públicas estadounidenses, en particular con fines de aplicación de la ley penal y de seguridad nacional. El acceso a los datos se limita a lo necesario y proporcionado para proteger la seguridad nacional.
Los ciudadanos de la UE tendrán acceso a un mecanismo de recurso independiente e imparcial en relación con la recopilación y el uso de sus datos por parte de las agencias de inteligencia estadounidenses, que incluye el DPRC recientemente creado. El Tribunal investigará y resolverá de forma independiente las denuncias, incluso mediante la adopción de medidas correctivas vinculantes. Las salvaguardias establecidas por los Estados Unidos también facilitarán los flujos transatlánticos de datos de manera más general, ya que también se aplican cuando los datos se transfieren utilizando otras herramientas, como cláusulas contractuales estándar y normas corporativas vinculantes.
Próximos pasos
El funcionamiento del Marco estará sujeto a revisiones periódicas, que llevará a cabo la Comisión Europea, junto con representantes de las autoridades europeas de protección de datos y las autoridades competentes de los Estados Unidos. La primera revisión tendrá lugar en el plazo de un año a partir de la entrada en vigor de la decisión de adecuación, a fin de verificar que todos los elementos pertinentes se han aplicado plenamente en el marco jurídico de los Estados Unidos y funcionan eficazmente en la práctica.
En marzo de 2022, la presidenta von der Leyen y el presidente Biden anunciaron que habían llegado a un acuerdo de principio sobre un nuevo marco de flujos de datos transatlánticos, tras las negociaciones entre el comisario Reynders y el secretario estadounidense Raimondo. En octubre de 2022, el presidente Biden firmó una Orden Ejecutiva sobre «Mejora de las salvaguardas para las actividades de inteligencia de señales de los Estados Unidos«, que se complementó con las regulaciones emitidas por el Fiscal General de los Estados Unidos, Garland. Juntos, estos dos instrumentos incorporaron los compromisos de los Estados Unidos alcanzados en virtud del acuerdo en principio a la legislación estadounidense, y complementaron las obligaciones de las empresas estadounidenses en virtud del Marco de Privacidad de Datos UE-EE. UU.
