Escudo de privacidad UE-EE. UU.

El Escudo de Privacidad UE-EE. UU. fue un marco legal para regular los intercambios transatlánticos de datos personales con fines comerciales entre la Unión Europea y los Estados Unidos . ^{[ 1 ]} Uno de sus propósitos era permitir que las empresas estadounidenses recibieran más fácilmente datos personales de entidades de la UE bajo las leyes de privacidad de la UE destinadas a proteger a los ciudadanos de la Unión Europea. ^{[ 2 ]} El Escudo de Privacidad UE-EE. UU. entró en vigor el 12 de julio de 2016 tras su aprobación por la Comisión Europea . Se estableció para reemplazar los Principios Internacionales de Privacidad de Puerto Seguro , que fueron declarados inválidos por el Tribunal de Justicia de la Unión Europea en octubre de 2015. ^{[ 3 ]} El TJUE declaró inválido el Escudo de Privacidad UE-EE. UU. el 16 de julio de 2020, en el caso conocido como Schrems II . ^{[ 4 ]} En 2022, los líderes de EE. UU. y la UE anunciaron que se había acordado en principio un nuevo marco de transferencia de datos llamado Marco Transatlántico de Privacidad de Datos , que reemplaza al Escudo de Privacidad. ^{[ 5 ]} Sin embargo, no está claro qué cambios serán necesarios o adecuados para que esto tenga éxito sin enfrentar desafíos legales adicionales.

En octubre de 2015, el Tribunal de Justicia de la Unión Europea declaró inválido el marco anterior, denominado Principios Internacionales de Puerto Seguro para la Privacidad, en una sentencia que posteriormente se conoció como «Schrems I». ^{[ 3 ]} Poco después de esta decisión, la Comisión Europea y el Gobierno de los Estados Unidos iniciaron conversaciones sobre un nuevo marco y, el 2 de febrero de 2016, alcanzaron un acuerdo político. ^{[ 1 ]} La Comisión Europea publicó el borrador de la «decisión de adecuación», declarando que los principios eran equivalentes a las protecciones ofrecidas por el derecho de la UE. ^{[ 6 ]}

El Grupo de Trabajo del Artículo 29 sobre Protección de Datos emitió un dictamen el 13 de abril de 2016, en el que afirmaba que el Escudo de Privacidad ofrece mejoras importantes en comparación con las decisiones del Puerto Seguro, pero que aún persisten tres puntos de preocupación principales. Estos se refieren a la eliminación de datos, la recopilación de grandes cantidades de datos y la clarificación del nuevo mecanismo del Defensor del Pueblo. ^{[ 7 ]} El Supervisor Europeo de Protección de Datos emitió un dictamen el 30 de mayo de 2016 en el que declaró que «el Escudo de Privacidad, en su forma actual, no es lo suficientemente sólido como para resistir un futuro escrutinio jurídico ante el Tribunal [Europeo]». ^{[ 8 ]}

El 8 de julio de 2016, los representantes de los Estados miembros de la UE (Comité del Artículo 31) aprobaron la versión final del Escudo de Privacidad UE-EE. UU., allanando el camino para la adopción de la decisión por la Comisión. ^{[ 9 ]} La Comisión Europea adoptó el marco el 12 de julio de 2016 y entró en vigor ese mismo día. ^{[ 10 ] [ 11 ]}

El 25 de enero de 2017, el presidente de Estados Unidos, Donald Trump, firmó una orden ejecutiva titulada " Mejora de la seguridad pública " que establece que las protecciones de privacidad de Estados Unidos no se extenderán más allá de los ciudadanos o residentes estadounidenses:

Las agencias deberán, en la medida en que sea compatible con la ley aplicable, garantizar que sus políticas de privacidad excluyan a las personas que no sean ciudadanos de los Estados Unidos o residentes permanentes legales de las protecciones de la Ley de Privacidad con respecto a la información de identificación personal . ^{[ 12 ]}

Esta orden ejecutiva fue derogada por el presidente Joe Biden el 20 de enero de 2021. ^{[ 13 ]}

La Comisión Europea ha declarado que:

La Ley de Privacidad de EE. UU. nunca ha ofrecido derechos de protección de datos a los europeos. La Comisión negoció dos instrumentos adicionales para garantizar que los datos de los ciudadanos de la UE estén debidamente protegidos cuando se transfieran a EE. UU.:

• El Escudo de Privacidad UE-EE. UU., que no se basa en las protecciones de la Ley de Privacidad de EE. UU.
• El Acuerdo Marco UE-EE. UU. entró en vigor el 1 de febrero de 2017. Para formalizar este acuerdo, el Congreso de los EE. UU. aprobó en 2017 la Ley de Reparación Judicial de los EE. UU. ^{[ 14 ]} , que extiende los beneficios de la Ley de Privacidad de los EE. UU. a los europeos y les otorga acceso a los tribunales estadounidenses. ^{[ 15 ]}

La comisión dijo que "continuará supervisando la aplicación de ambos instrumentos". ^{[ 15 ]}

En general, la organización ha desarrollado siete principios principales. Estos se exponen en los siguientes párrafos: ^{[ 16 ]}

1. Aviso : Se debe informar a las personas que sus datos se están recopilando y cómo se utilizarán. La organización debe proporcionar información sobre cómo las personas pueden contactarla para cualquier consulta o queja.
2. Elección : Las personas deben tener la opción de oponerse a la recopilación y transferencia de datos a terceros.
3. Responsabilidad por la transferencia posterior : Las transferencias de datos a terceros solo podrán realizarse a otras organizaciones que cumplan con principios adecuados de protección de datos.
4. Seguridad : Deben realizarse esfuerzos razonables para evitar la pérdida de la información recopilada.
5. Integridad de los datos y limitación de la finalidad : Los datos deben ser relevantes y fiables para la finalidad para la que fueron recopilados.
6. Acceso : Las personas deben poder acceder a la información que se guarda sobre ellas, y corregirla o eliminarla si es inexacta.
7. Recursos, cumplimiento y responsabilidad : Deben existir medios eficaces para hacer cumplir estas normas.

El eurodiputado alemán Jan Philipp Albrecht y el activista austriaco Max Schrems criticaron la nueva sentencia, y este último predijo que la Comisión podría estar haciendo un "viaje de ida y vuelta a Luxemburgo " (donde se encuentra el Tribunal de Justicia de la Unión Europea (TJUE)). ^{[ 17 ]} Muchos europeos exigieron un mecanismo para que los ciudadanos europeos pudieran presentar quejas sobre el uso de sus datos, así como un sistema de transparencia para garantizar que los datos de los ciudadanos europeos no cayeran en manos de las agencias de inteligencia estadounidenses. ^{[ 18 ]}

El Escudo de Privacidad ha sido impugnado legalmente por grupos defensores de la privacidad. ^{[ 19 ] [ 20 ]} Inicialmente, no estaba claro si los casos serían considerados admisibles. ^{[ 21 ] [ 22 ]} Sin embargo, en febrero de 2017, el futuro del Escudo de Privacidad estaba en entredicho. Un consultor, Matt Allison, predijo que «El modelo regulado y dirigido por los ciudadanos de la UE entrará rápidamente en conflicto con las fuerzas del mercado de EE. UU. y el Reino Unido». ^{[ 23 ]} Allison resumió un nuevo documento en el que la Comisión Europea expone sus planes para las decisiones de adecuación y la estrategia global. ^{[ 24 ]}

En diciembre de 2019, el Tribunal de Justicia de la Unión Europea (TJUE) emitió un dictamen preliminar en el caso Comisionado de Protección de Datos contra Facebook Irlanda (también conocido como Schrems II ). En él se esbozaban diversos escenarios que podrían derivarse del conflicto entre los regímenes. Un abogado concluyó que el dictamen «debería generar tanto alivio como alarma para el gobierno estadounidense y para las empresas que dependen de la transferencia de datos». ^{[ 25 ]}

El 16 de julio de 2020 se publicó una decisión final del TJUE en el caso Schrems II . ^{[ 26 ] [ 27 ]} El Escudo de Privacidad UE-EE. UU. para el intercambio de datos fue anulado por el Tribunal de Justicia de la Unión Europea por considerar que no proporcionaba una protección adecuada a los ciudadanos de la UE frente a la vigilancia gubernamental. ^{[ 4 ]} El Comité Europeo de Protección de Datos (CEPD), organismo de la UE cuyas decisiones son vinculantes para las autoridades nacionales de supervisión de la privacidad, declaró que «las transferencias basadas en este marco jurídico son ilegales». ^{[ 28 ]} La sentencia no detuvo por completo las transferencias de datos entre la UE y otros países extranjeros, ya que el tribunal confirmó el uso de las «cláusulas contractuales tipo» (CCT). Sin embargo, las CCT no protegen necesariamente los datos en países cuya legislación es fundamentalmente incompatible con la Carta de los Derechos Fundamentales de la UE y el Reglamento General de Protección de Datos (RGPD), como Estados Unidos. El estancamiento existente fue objeto de propuestas académicas e investigaciones en curso. ^{[ 29 ]}

El 25 de marzo de 2022, EE. UU. y la UE anunciaron que se había alcanzado un nuevo acuerdo de transferencia de datos. ^{[ 5 ]} El nuevo marco, denominado Marco Transatlántico de Privacidad de Datos , permitiría a los ciudadanos de la UE denunciar violaciones de la privacidad de datos a través de un nuevo "Tribunal de Revisión de Protección de Datos". ^{[ 5 ] [ 30 ]} El 7 de octubre de 2022, el presidente Biden firmó una orden ejecutiva para implementar el marco de transferencia de datos entre la Unión Europea y EE. UU., que adopta nuevas salvaguardias estadounidenses de privacidad en materia de recopilación de inteligencia. ^{[ 31 ] [ 32 ]}

Se esperaba una decisión sobre el impacto del Brexit en el Escudo de Privacidad para el 31 de diciembre de 2020, pero podría resultar irrelevante debido a la decisión del TJUE. ^{[ 33 ]}

La nueva versión es objeto de críticas. ^{[ 34 ]}

Suiza no es miembro de la UE, pero sigue muchas políticas de la UE a través de la implementación de tratados. En consecuencia, ha implementado su propia versión del marco del Escudo de Privacidad mediante su propio Escudo de Privacidad Suiza-EE. UU. Es muy similar al marco del Escudo de Privacidad UE-EE. UU., pero implementa su propio acuerdo de protección de datos en lugar de varios acuerdos de protección de datos de la UE. Tampoco tiene un período de gracia y presenta otras diferencias significativas en la definición de "datos sensibles", el arbitraje vinculante y los cambios en las políticas de privacidad . ^{[ 35 ]} Los programas UE-EE. UU. y Suiza-EE. UU. eran lo suficientemente similares como para que Estados Unidos los administrara conjuntamente. ^{[ 36 ]}

• Normas corporativas vinculantes
• Ley de privacidad de las comunicaciones electrónicas
• Prácticas de información justas (FIPP) de la FTC, EE. UU.
• riesgo informático
• Privacidad
• Puerto seguro (ley)
• Ley de Comunicaciones Almacenadas

• Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, relativa a la adecuación de la protección prevista en el Escudo de Privacidad UE-EE. UU., ahora nula debido a la sentencia Schrems II.
• Hoja informativa sobre el Escudo de Privacidad UE-EE. UU. en la Unión Europea.
• Hoja informativa sobre el Escudo de Privacidad UE-EE. UU. del Departamento de Comercio de EE. UU. Archivada el 26/03/2016 en Wayback Machine.