El Tribunal de la UE cree que EE UU no protege los datos de los europeos

La Unión Europea ha lanzado este martes un rotundo mensaje a Estados Unidos en materia de protección de datos. Cualquier Estado miembro podrá a partir de ahora bloquear el envío de datos personales a EE UU, según una sentencia del Tribunal de Justicia de la UE sobre la que no cabe recurso. El fallo, publicado esta mañana, habilita a las agencias nacionales de protección de datos para que frenen las transferencias de datos de ciudadanos europeos a terceros países (incluido EE UU) si consideran que la empresa —o territorio— a la que se destinan no es fiable. En virtud de este dictamen, el criterio de las agencias prevalecerá sobre el de la Comisión Europea, que desde el año 2000 hasta hoy consideraba el territorio estadounidense como puerto seguro.

La legislación europea no permite que los datos personales se envíen fuera de sus fronteras salvo si el país de destino cuenta con un reglamento de protección adecuado. A pesar de que Bruselas sí lo consideraba seguro —tanto al país como a sus empresas—, desde el escándalo de espionaje de la Agencia de Seguridad Nacional de EE UU (NSA, por sus siglas en inglés) desvelado por Edward Snowden en 2013, la confianza de la capital europea hacia el tratamiento de los datos personales de europeos en EE UU pendía de un hilo. La Corte cree, según la sentencia de tres páginas, que tanto en la ley como en la práctica, "EE UU no garantizaba una protección suficiente de los datos transferidos a ese país" y por tanto pide a la Comisión que recule e invalide la norma por la que sí se consideraba un territorio seguro para la intimidad de los ciudadanos europeos desde hacía 15 años. El dictamen llega, además, en un momento en el que la renegociación sobre el intercambio de información y datos personales entre ambos bloques acaba de ser lanzada.

La Justicia europea reprocha al Ejecutivo comunitario que no llevó a cabo su obligación de comprobar si EE UU garantiza un nivel de protección de los derechos fundamentales sustancialmente equivalente al garantizado en la UE y que se limitó simplemente a "analizar".

El caso saltó a la luz cuando el austriaco Max Schrems interpuso una denuncia contra Facebook en el Comisionado de Protección de Datos de Irlanda (homólogo de la Agencia Española de Protección de Datos), país donde la compañía tecnológica estadounidense tiene su filial europea. Schrems entendía que Facebook no garantizaba la seguridad de sus datos, después del escándalo de espionaje de la NSA, cuando Snowden —ahora asilado en Moscú— reveló que la inteligencia de ese país tenía acceso a los datos de la compañía. La Corte irlandesa remitió una consulta al Tribunal europeo que ha fallado hoy en favor de Schrems.

Para el abogado especialista en protección de datos digitales Joaquín Muñoz, del bufete Abanlex, que gestionó el caso Google, "el poco tiempo que ha pasado desde la publicación del criterio del abogado a la publicación hoy de la sentencia hacía previsible que no hubiera sorpresas". Fuentes de la corte en Luxemburgo sostienen que la opinión de los abogados generales suelen seguirse en el 80% de los casos.

"La consecuencia más inmediata es que las empresas americanas con sede en Europa tendrán que legitimar la transferencia de datos hacia Estados Unidos. Para hacerlo, lo más sencillo para ellas será recabar el consentimiento inequívoco del usuario para realizar esa transferencia. El usuario debe de ser informado y consentirlo", ha explicado Muñoz.

"Lo más fácil será que a partir de ahora, Facebook mande un mensaje a todos los usuarios y mande un mensaje a la Unión Europea para que sepan que los datos se van a pasar a su matriz a Estados Unidos", ha añadido el abogado.

Para Muñoz, "la decisión más legalista por parte de la empresa tendría que tener en cuenta que Facebook está obligada por la Patriot Act, la ley de seguridad americana que contempla que la NSA les requiera información. Otra posibilidad, técnicamente poco viable, sería hacer un Facebook solo para Europa". 

La Agencia Española de Protección de Datos, considera en un comunicado que las implicaciones de la sentencia "reafirman la importancia de la intimidad y la protección de datos, derechos fundamentales que deben gozar de las mayores garantías posibles". Los organismos estatales de protección de datos "han planificado actuaciones de coordinación" para analizar la sentencia, con objeto de que se aplique de manera "consistente" en todos los países de la UE. La Agencia ha incidido que las autoridades europeas "ya observaron deficiencias en el Puerto Seguro" y así lo plasmaron en "cartas y dictámenes".