Max Schrems

Mientras estudiaba derecho durante un semestre en el extranjero en la Universidad de Santa Clara en Silicon Valley , Schrems decidió escribir su trabajo final sobre la falta de conocimiento de Facebook sobre la ley de privacidad europea, después de sorprenderse por lo que el abogado de privacidad de la empresa, Ed Palmieri, dijo a su clase sobre el tema. ^{[ 1 ]} Posteriormente, hizo una solicitud bajo la disposición del Derecho europeo de acceso a datos personales para obtener los registros de la empresa sobre él y recibió un CD que contenía más de 1200 páginas de datos, que publicó en europe-v-facebook.org con la información personal censurada. Presentó una primera ronda de quejas contra la empresa ante el Comisionado de Protección de Datos (DPC) de Irlanda en 2011. En febrero de 2012, Richard Allan y otro ejecutivo de la empresa viajaron a Viena para debatir estas quejas con él durante seis horas. ^{[ 1 ]} Facebook fue auditado bajo la ley europea y tuvo que eliminar algunos archivos y deshabilitar su software de reconocimiento facial . ^{[ 2 ]} En 2014, Schrems retiró las quejas, alegando que nunca recibió un procedimiento justo ante el Comisionado de Protección de Datos de Irlanda. Nunca recibió una decisión formal del DPC y se le negó el acceso a todas las presentaciones de Facebook y a los archivos del caso. En europe-v-facebook.org , comentó sobre el retiro de sus quejas:

Esta decisión se basó en el hecho de que la DPC irlandesa se ha negado a emitir una decisión formal durante años y ni siquiera ha concedido los derechos procesales más básicos (acceso a expedientes, pruebas o contraargumentos). La DPC ha interrumpido de hecho toda forma de comunicación e ignorado todas las alegaciones presentadas. Muchos observadores supusieron que esto podría deberse a consideraciones políticas y económicas en Irlanda. ^{[ 3 ]}

En 2013, Schrems presentó una queja contra Facebook Ireland Ltd ante el Comisionado de Protección de Datos de Irlanda, país donde Facebook tiene su sede europea. ^{[ 4 ]} La queja tenía como objetivo prohibir que Facebook siguiera transfiriendo datos de Irlanda a Estados Unidos, dada la presunta participación de Facebook USA en el programa de vigilancia masiva PRISM . Schrems basó su queja en la legislación de protección de datos de la UE, que no permite transferencias de datos a países no pertenecientes a la UE a menos que una empresa pueda garantizar una "protección adecuada". El DPC rechazó la queja, alegando que era "frívola y vejatoria" y que no había motivos para responder. ^{[ 5 ]} Schrems presentó una solicitud de revisión judicial ante el Tribunal Superior de Irlanda por la inacción del DPC irlandés, la cual fue admitida. ^{[ 4 ]} El 18 de junio de 2014, el Juez Hogan aplazó el caso a la espera de una remisión al Tribunal de Justicia de la Unión Europea (TJUE). Dijo que la legislación irlandesa en materia de privacidad había sido efectivamente invalidada por la legislación europea y que la cuestión central era si las directivas pertinentes debían reevaluarse a la luz de la posterior entrada en vigor del artículo 8 (protección de datos personales) de la Carta de los Derechos Fundamentales de la Unión Europea . ^{[ 6 ] [ 7 ] [ 8 ]}

La Comisión Europea dictaminó en la Decisión Ejecutiva 2000/520/CE que los denominados Principios de Puerto Seguro UE-EE. UU. proporcionarían una «protección adecuada» en virtud del artículo 25 de la Directiva 95/46/CE ( Directiva de Protección de Datos ) en lo que respecta a la transferencia de información personal de la UE a EE. UU. Esta decisión ejecutiva de la Comisión Europea fue cuestionada por las revelaciones de Edward Snowden en 2013. En esencia, Schrems argumentó, por lo tanto, que el sistema de Puerto Seguro violaría su derecho fundamental a la privacidad , la protección de datos y el derecho a un juicio justo, según la Carta de los Derechos Fundamentales de la Unión Europea . ^{[ 9 ] [ 10 ] [ 11 ]}

La vista oral ante el Tribunal de Justicia de la Unión Europea (TJUE) se celebró el 24 de marzo de 2015. ^{[ 12 ] [ 13 ]} El Abogado General del Tribunal para el caso fue Yves Bot . ^{[ a ]} ​​Durante la vista, Bot preguntó al abogado de la Comisión Europea, Bernhard Schima, qué consejo podría darle si le preocupaba que sus datos estuvieran a disposición de las autoridades estadounidenses. Schima respondió que podría considerar cerrar su cuenta de Facebook, si tuviera una. ^{[ 14 ]} Dijo que la Comisión Europea no podía garantizar que se cumplieran las garantías "adecuadas" para la protección de datos, una observación que Schrems dijo que fue lo más llamativo que escuchó en la vista. ^{[ 15 ] [ 16 ]}

Bot emitió su opinión el 23 de septiembre de 2015. Sostuvo que el acuerdo de Puerto Seguro era inválido y afirmó que las autoridades de protección de datos individuales podían suspender las transferencias de datos a terceros países si violaban los derechos de la UE. ^{[ 17 ] [ 18 ] [ 19 ] [ 20 ]}

El 6 de octubre de 2015, el Tribunal de Justicia de la Unión Europea dictaminó que: (1) las autoridades nacionales de supervisión conservan la potestad de examinar las transferencias de datos entre la UE y EE. UU. a pesar de una decisión existente de la Comisión (como su Decisión de Puerto Seguro de 2000, que determinó que las empresas estadounidenses que cumplían con los principios podían transferir datos de la UE a EE. UU.); y (2) el marco de Puerto Seguro es inválido. ^{[ 21 ]} El Tribunal consideró que el marco es inválido por varias razones: el sistema permite la injerencia gubernamental en las protecciones, no ofrece recursos legales a las personas que buscan acceder a los datos relacionados con ellas, o solicitar su supresión o modificación, e impide que las autoridades nacionales de supervisión ejerzan sus competencias. Conforme al derecho de la UE, el intercambio de datos con países considerados con estándares de privacidad inferiores, incluidos los EE. UU., está prohibido. Dichas actividades solo serán posibles mediante métodos más costosos y que requieren más tiempo. ^{[ 22 ]}

El 2 de diciembre de 2015, Schrems volvió a presentar su denuncia original contra Facebook ante el Comisionado de Protección de Datos de Irlanda. También envió denuncias similares a las Autoridades de Protección de Datos de Hamburgo y Bélgica, que reclaman jurisdicción sobre Facebook. Las denuncias tienen como objetivo hacer cumplir la sentencia del TJUE sobre Facebook, que actualmente no se basa en el Acuerdo de Puerto Seguro para sus transferencias de datos. En su lugar, Facebook se basa en acuerdos contractuales preaprobados denominados «cláusulas modelo». Schrems argumenta que estos acuerdos también incorporan excepciones para casos de vigilancia masiva ilegal y, por lo tanto, que la sentencia del TJUE también se aplica a estos acuerdos. ^{[ 23 ] [ 24 ]} El Comisionado de Protección de Datos de Irlanda consideró que Schrems había planteado objeciones «bien fundadas», ^{[ 25 ]} pero que necesita más orientación del TJUE para resolver la denuncia.

Después de los procedimientos en febrero/marzo de 2017, ^{[ 26 ]} la jueza Costello del Tribunal Superior de Irlanda presentó el resumen ejecutivo el 3 de octubre de 2017, remitiendo el caso al TJUE. ^{[ 27 ]}

"Ni la introducción del mecanismo del Defensor del Pueblo del Escudo de la Privacidad ni las disposiciones del artículo 4 de las decisiones del Tribunal de Cuentas Estatal eliminan las fundadas preocupaciones planteadas por la DPC en relación con la adecuación de la protección que se ofrece a los interesados ​​de la UE cuyos datos personales son objeto de injerencias ilícitas por parte de los servicios de inteligencia de los Estados Unidos una vez que sus datos personales han sido transferidos para su procesamiento a los Estados Unidos."

El 1 de agosto de 2014, Schrems presentó una demanda contra Facebook ante los tribunales locales de Viena. Permitió que otros usuarios de Facebook se unieran a su caso, generando una demanda colectiva, denominada por la prensa como una demanda de David contra Goliat , estimada como la mayor demanda colectiva por privacidad jamás presentada en Europa. Cualquier usuario de Facebook podía ceder su reclamación a Schrems a través de la página web fbclaim.com . En seis días, la participación en la demanda se limitó a 25.000 usuarios de Facebook debido a la gran cantidad de registros, aunque otros usuarios aún podían manifestar su interés. ^{[ 28 ]} Schrems demandó a la filial irlandesa de Facebook ante los tribunales de Viena por una "cantidad simbólica" de 500 € en concepto de daños y perjuicios por participante. ^{[ 29 ]} El caso fue financiado por la empresa alemana de financiación de litigios ROLAND ProzessFinanz . ^{[ 30 ]} Según los términos de fbclaim.com, todo el dinero otorgado se transferiría a los participantes individuales. Schrems no recibe ningún beneficio económico de la demanda colectiva, sino que actúa de forma gratuita . ^{[ 31 ]}

La primera audiencia tuvo lugar el 9 de abril de 2015. ^{[ 32 ]} El 1 de julio de 2015, el Tribunal de Distrito de Viena desestimó la demanda colectiva, alegando falta de jurisdicción. La decisión del Tribunal se basó en si Schrems era simplemente un consumidor de Facebook, ya que fue sobre esa base que Schrems pudo presentar una demanda ante un tribunal civil austriaco en su lugar de residencia. Facebook acusó a Schrems de tener un interés comercial en sus numerosas acciones legales contra Facebook. La jueza Margot Slunsky-Jost afirmó que Schrems podría beneficiarse del enorme interés mediático en su futura carrera. El Tribunal dictaminó, por motivos procesales, que Schrems, en consecuencia, no calificaba como consumidor y no podía presentar la demanda ante el tribunal de su domicilio en Viena.

En octubre de 2015, el Tribunal Regional Superior de Viena revocó la sentencia del tribunal regional, dictaminando que Schrems es un consumidor y que no actúa en interés comercial alguno. El Tribunal Regional Superior dictaminó que Schrems puede presentar sus propias demandas contra Facebook Irlanda en Viena, que constituían 20 de las 22 demandas del litigio, pero que no puede constituir una demanda colectiva por motivos procesales. Esto limitó a Schrems a presentar únicamente un «caso modelo». ^{[ 33 ]} El Tribunal Regional Superior admitió un recurso ante el Tribunal Supremo de Austria en la cuestión clave de la constitución de una demanda colectiva conforme al derecho de la UE y el derecho austriaco. ^{[ 34 ]} Schrems interpuso el recurso el 2 de noviembre de 2015. Schrems ganó la batalla, en el sentido de que el Tribunal Regional Superior de Viena confirmó la sentencia del Tribunal Regional de Asuntos Civiles y Schrems recibió la indemnización simbólica de 500 euros de Facebook, pero la batalla continúa, ya que, en palabras de Schrems, los tribunales regionales «no han abordado realmente muchos de los problemas que plantea este caso». En concreto, si bien determinaron que Facebook había infringido la DPD en este caso, no desestimaron la afirmación de Facebook de que podía utilizar un contrato de adhesión para definir los límites de sus obligaciones de tratamiento de datos en virtud de la DPD. En diciembre de 2020, Schrems remitió el asunto al Tribunal Supremo austriaco y espera llevarlo posteriormente al Tribunal de Justicia de la Unión Europea para obtener una sentencia definitiva. ^{[ 35 ]}

Poco después de su entrada en vigor el 25 de mayo de 2018, Schrems presentó una demanda en virtud del recién promulgado Reglamento General de Protección de Datos (RGPD) en Irlanda contra Google y Facebook por coaccionar a sus usuarios para que aceptaran sus políticas de recopilación de datos. Se presentaron tres demandas por un total de más de 3900 millones de euros. ^{[ 36 ]}

El 18 de enero de 2019, Schrems presentó nuevas denuncias por incumplimiento del RGPD contra Amazon, Apple Music, DAZN , Filmmit, Netflix, SoundCloud , Spotify y YouTube . ^{[ 37 ] [ 38 ]} Su organización sin ánimo de lucro, noyb.eu , alegó que no respondieron, no incluyeron información de contexto suficiente o proporcionaron datos brutos insuficientes o ininteligibles. ^{[ 39 ]} noyb predijo una multa máxima total de 18.800 millones de euros para las 8 empresas.

Al concluir el caso Schrems I , el Tribunal Superior de Irlanda remitió oficialmente el caso (ahora llamado Comisionado de Protección de Datos contra Facebook Irlanda y Maximillian Schrems ) al TJUE, junto con once cuestiones que debían abordarse en relación con la validez de las CCT ^{[ 40 ]} (cláusulas contractuales tipo). ^{[ 41 ]} La sentencia se presentó el 16 de julio de 2020. ^{[ 42 ]}

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó que el Escudo de Privacidad no ofrece una protección adecuada e invalidó el acuerdo. El tribunal también dictaminó que las autoridades europeas de protección de datos deben detener las transferencias de datos personales realizadas en virtud de las cláusulas contractuales estándar por empresas como Facebook, que están sujetas a una vigilancia excesiva. Esta decisión tiene importantes implicaciones para las empresas estadounidenses y para el Congreso de los Estados Unidos, ya que pone en entredicho la suficiencia de la protección de la privacidad en dicho país.

"Este es otro fallo histórico del Tribunal de Justicia en materia de derechos a la privacidad, y una clara señal de que Estados Unidos necesita reformar sus leyes de vigilancia o corre el riesgo de perder su posición como líder tecnológico mundial. El Congreso debe actuar con rapidez para que la legislación estadounidense se ajuste a las normas internacionales de derechos humanos."

En septiembre de 2020, la Comisión de Protección de Datos de Irlanda envió a Facebook una orden preliminar para que dejara de transferir datos de ciudadanos de la UE a EE. UU. Se aplicará una multa del 4 % de los ingresos anuales si no se cumplen las condiciones. ^{[ 45 ]} El blog de Facebook publicó una carta de respuesta de Nick Clegg , vicepresidente de Asuntos Globales y Comunicaciones, el 9 de septiembre de 2020. ^{[ 46 ]} Clegg reconoció que las leyes relativas a la transferencia de datos están cambiando, pero que aún se necesita mayor claridad jurídica para todos los implicados, y abogó por una revisión del Escudo de Privacidad. Además, la respuesta señaló la aparente contradicción entre el Escudo de Privacidad, que se aplica a las transferencias de datos UE-EE. UU. y que el tribunal invalidó, y las Cláusulas Contractuales Tipo (CCT), que se aplican a las transferencias de datos UE-terceros países y que el tribunal mantuvo vigentes.

La falta de transferencias internacionales de datos seguras y legales perjudicaría la economía y frenaría el crecimiento de las empresas que dependen de los datos en la UE, justo cuando buscamos recuperarnos de la COVID-19. El impacto lo sufrirían empresas de todos los tamaños y de múltiples sectores. En el peor de los casos, esto podría significar que una pequeña empresa tecnológica emergente en Alemania ya no podría utilizar un proveedor de servicios en la nube con sede en EE. UU. Una empresa española de desarrollo de productos podría dejar de operar en varias zonas horarias. Un minorista francés podría descubrir que ya no puede mantener un centro de atención telefónica en Marruecos.

[...]

La UE ha sido pionera en el establecimiento de un marco de protección de datos que protege y empodera a los usuarios. Las normas de privacidad seguirán evolucionando, y las normas globales pueden garantizar un tratamiento coherente de los datos, independientemente de dónde se almacenen. Por ello, Facebook celebra los esfuerzos que ya se están llevando a cabo entre los legisladores de la UE y EE. UU. para evaluar el potencial de un marco UE-EE. UU. «mejorado»: un Escudo de Privacidad Plus. Estos esfuerzos deberán reconocer que tanto los Estados miembros de la UE como EE. UU. son democracias que comparten valores comunes y el Estado de derecho, están profundamente interconectados cultural, social y comercialmente, y tienen poderes y prácticas de vigilancia de datos muy similares.

En marzo de 2021, las posibles repercusiones en los servicios de inteligencia y vigilancia transatlánticos volvieron a surgir. Invocando la seguridad nacional y los derechos de los Estados miembros, se formó una nueva iniciativa para intentar mantener a los servicios de inteligencia europeos fuera de la jurisdicción judicial. Los gobiernos de los Estados miembros de la UE, liderados por Francia, buscan incluir una excepción de seguridad nacional en el Reglamento de privacidad electrónica pendiente que excluiría a terceros Estados como Estados Unidos ^{[ 47 ].}

En mayo de 2021, el Tribunal Superior de Irlanda rechazó el recurso de revisión judicial (presentado por Facebook Ireland Limited) que pretendía detener un proyecto de decisión preliminar (PDD) de la DPC. ^{[ 48 ]} Facebook alegó varias irregularidades, entre ellas fallos procesales, trato discriminatorio hacia Facebook frente a otros responsables del tratamiento de datos y la falta de respuesta del tribunal a las preguntas de Facebook sobre el procedimiento. El juez David Barniville rechazó todas las alegaciones de Facebook y dictaminó que el procedimiento de la DPC era legal; sin embargo, reconoció que las preguntas de Facebook sobre el procedimiento debían haber sido respondidas.