Bibliografía - La transferencia de datos personales tras la anulación del Acuerdo Safe Harbor

La transferencia de datos personales entre PYMEs españolas y proveedores norteamericanos de Cloud Computing tras la reciente anulación del Acuerdo Safe Harbor por el Tribunal de Justicia de la Unión Europea

Francisca María ROSSELLÓ RUBERT, Investigadora contratada predoctoral de la Universitat de les Illes Balears

Diario La Ley, Nº 8725, Sección Doctrina, 18 de Marzo de 2016, Ref. D-115

El Acuerdo de Puerto Seguro, aprobado por la Decisión de la Comisión Europea 2000/520/CE, permitía la transferencia internacional de datos personales desde Europa hasta empresas cloud de EE.UU. de manera legal. El Tribunal de Justicia de la Unión Europea, anulaba el pasado octubre esta Decisión, y reconocía que las garantías y presentadas por ese Acuerdo eran insuficientes ante las prácticas llevadas a cabo por proveedores y autoridades norteamericanas en relación al acceso a datos personales de ciudadanos europeos. A la espera de la aprobación del texto de la Decisión sobre el "Escudo de Privacidad", que viene a sustituir el anulado Safe Harbor, este artículo analiza la situación jurídica derivada de la llamada Sentencia Schrems y las opciones que tiene a su alcance el pequeño empresario para adecuarse al nuevo marco jurídico. Si no lo hace, estará llevando a cabo transferencias ilegales de datos personales, infracción que puede derivar en sanciones de elevado importe.

Es indudable que la sentencia del Tribunal de Justicia de la Unión Europea ha cambiado el marco europeo de la protección de datos. En nuestra opinión, este cambio ha sido positivo, puesto que ha obligado a la revisión de un acuerdo, el Safe Harbor, que presentaba carencias tanto en los compromisos asumidos por empresas y autoridades norteamericanas como en el control de la puesta en práctica de sus disposiciones. Además, la Sentencia del Tribunal de Justicia de la Unión Europea ha reforzado la posición de las autoridades nacionales en materia de protección de datos, puesto que prima su obligación de velar por el cumplimiento de los derechos de los ciudadanos europeos sobre decisiones puntuales de la Comisión, especialmente en aquellos casos en los que existan claros indicios de la existencia de vulneraciones.

Se deduce de lo adelantado por la Comisión Europea que el acuerdo Shield presenta garantías reforzadas respecto al Safe Harbor. En primer lugar, en la exigencia de mayor transparencia y requisitos más estrictos a las empresas norteamericanas, y la supervisión, por parte del Departamento de Comercio norteamericano, del cumplimiento de los compromisos asumidos en materia de protección de datos, y la posibilidad de sancionar. En segundo lugar, el compromiso por escrito de que las agencias norteamericanas de seguridad nacional establecerán limitaciones en cuanto al acceso indiscriminado a datos personales importados desde Europa. En tercer lugar, la instauración de mecanismos a disposición de los titulares para defender sus derechos. Por último, la realización de un control anual sobre el cumplimiento de lo acordado bajo el Shield, para que la protección que otorga no decaiga con el transcurso del tiempo.

A la espera del texto definitivo del Acuerdo Shield y del nuevo Reglamento, confiamos en que el pequeño empresario reciba el máximo soporte por parte de normas y autoridades, puesto que sobre él recae toda la responsabilidad en relación a custodia de los datos personales que le encomienda el titular.

Nota: Véase la Decisión de la Comisión 2000/520/CE, de 26 de julio de 2000, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América, así como la sentencia del TJUE de 6 de octubre de 2015, en el Asunto C-362/14 (Schrems).