Puerto Seguro: La Comisión Europea y el Estado de California mueven ficha.
Muchas han sido las noticias que han llenado los periódicos revelando las masivas injerencias por parte de Estados Unidos a los datos personales de miles de ciudadanos en todo el mundo sin ningún tipo de control o límite. Se ha convertido en una práctica habitual el acceso indiscriminado en la vida privada de las personas, no siendo en la mayoría de los casos sospechosas de delito alguno.
En este sentido, hace apenas un mes la noticia de que la Sentencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE) invalidaba la Decisión 2000/520/CE (que aprobaba el Puerto Seguro) supuso un gran revés para las compañías estadounidenses que prestaban libremente sus servicios a miles de empresas europeas gracias a su adhesión a los Principios de Puerto Seguro.
Esta Sentencia se limitaba a constatar que la Decisión de la Comisión restringía parcialmente poderes conferidos a las autoridades europeas de protección de datos por medio de la Directiva 95/46 del Parlamento Europeo y del Consejo, y por lo tanto, existía un simple conflicto normativo que derivó en la anulación de la Decisión.
Sin embargo, como ya comentamos en su momento, las autoridades de protección de datos obviaron esta realidad, y emitieron un pronunciamiento conjunto sobre la necesidad de llegar a un nuevo acuerdo, siempre que vaya acompañado de cambios legislativos en los Estados Unidos.
Una de las principales razones que subyacen para emitir este pronunciamiento, no es otra que la incapacidad de las empresas estadounidenses para garantizar un nivel adecuado de protección de datos, debido a la legislación a la que se encuentran sometidas, siendo una práctica frecuente y alarmante que las empresas tecnológicas recibieran solicitudes de acceso a datos de ciudadanos por parte de las autoridades estadounidenses sin ningún tipo de restricción, garantía o límite.
En este contexto se plantea como urgente necesidad reformar las legislaciones de todos los países en aras de proteger la privacidad en Internet, y con esta finalidad se ha firmado el pasado mes la Ley de Privacidad de Comunicaciones Electrónicas de California (CalECPA).
Esta ley supone una victoria histórica para la privacidad digital y para todos los californianos, según comentaba Nicole Ozer, Director de Política de Tecnología y Libertades Civiles en la ACLU (Unión Americana de Libertades Civiles) de California, a través de un comunicado.
Pues bien, gracias a esta ley a partir de 2016 será necesario, salvo en algunas excepciones tasadas, que la policía del Estado de California obtenga una orden judicial de manera previa a poder acceder a la información electrónica que se encuentre en poder de las empresas tecnológicas. Recordemos que California es la cuna de los grandes gigantes de Internet, siendo allí donde tienen sus sedes establecidas Google, Facebook, Dropbox, Apple o LinkedIn.
Cabe indicar que esta Ley de Privacidad de Comunicaciones Electrónicas de California ha sido promovida tras la publicación de una sentencia de la Corte Suprema de Estados Unidos en 2014 (Riley vs California) en la cual sostenía que la policía no puede, con carácter general, acceder sin orden de un juez a la información contenida en un teléfono móvil.
No obstante, puede que las tensiones existentes entre Europa y Estados Unidos en relación a las escasas garantías de protección que ésta última ha ofrecido en los últimos años para las transferencias internacionales de datos que se realizan a diario, haya acelerado el proceso y actuado como lanzadera para la búsqueda de una ley que se adecúe más a las necesidades de protección que Europa demanda.
Comunicado de la Comisión Europea
En este sentido, y tras la sentencia que invalidaba el Puerto Seguro, la Comisión Europea el pasado 6 de noviembre ha lanzado un comunicado informando acerca de la intensificación de las negociaciones que se están llevando con Estados Unidos para la búsqueda de un renovado marco de colaboración entre ambos países, permitiendo de nuevo las transferencias internacionales de datos de manera segura.
Mientras estas negociaciones no llegan a término, la Comisión ha publicado una serie de orientaciones sobre los mecanismos alternativos existentes para llevar a cabo transferencias de datos tras la sentencia.
De este modo, sin perjuicio de lo que la Agencia Española de Protección de Datos pueda establecer, la Comisión señala que las empresas podrán proseguir con las transferencias de datos sobre la base de:
- La existencia de cláusulas contractuales que constituyan obligaciones en materia de Protección de Datos entre empresas.
- La existencia de normas corporativas vinculantes para las transferencias intragrupales.
- Una serie de excepciones como son la existencia de una celebración o ejecución de un contrato para lo cual sean necesarias las transferencias, un reconocimiento, ejercicio y defensa de un derecho en un procedimiento judicial, o el consentimiento libre e informado de la persona.
En vista de los acontecimientos, no podemos más que mostrarnos esperanzados y con cierta confianza de que parece estar cambiando el rumbo de las cosas en relación a Puerto Seguro, percibiéndose una luz al final del túnel.
Asimismo, siempre es una buena noticia que cada vez sean más los que se suman a implantar legislaciones defensoras de los derechos fundamentales de los ciudadanos, como es la protección de datos personales (sin olvidar que en algunos casos se utiliza de forma malintencionada con fines recaudatorios).
Primera parte: https://www.audea.com/puerto-seguro-se-abrio-la-caja-de-pandora/
Segunda parte: https://www.audea.com/puerto-seguro-se-abrio-la-caja-de-pandora-ii/
Tercera parte: https://www.audea.com/puerto-seguro-se-abrio-la-caja-de-pandora-iii/
Loreto Jiménez Muñoz
Consultora Legal
Áudea Seguridad de la Información