Marco de privacidad de datos UE-EE. UU.

El Marco de Privacidad de Datos UE-EE. UU. es un marco de transferencia de datos entre la Unión Europea y los Estados Unidos establecido en virtud del Reglamento General de Protección de Datos (RGPD), acordado en 2022, ^{[ 1 ] [ 2 ]} declarado adecuado por la Comisión Europea en 2023, ^{[ 3 ]} y extendido al Espacio Económico Europeo (EEE) en 2024. ^{[ 4 ] [ 5 ]}

Los regímenes anteriores de este tipo —el Escudo de Privacidad UE-EE. UU. (2016-2020) y los Principios Internacionales de Puerto Seguro (2000-2015)— fueron declarados inválidos por el Tribunal de Justicia de la Unión Europea, en parte debido a la preocupación de que los datos personales que salen de las fronteras de la UE estén sujetos a una vigilancia generalizada por parte del gobierno estadounidense. Tras la invalidación del Escudo de Privacidad UE-EE. UU. en julio de 2020, las empresas que deseaban transferir datos entre la UE y EE. UU. se enfrentaron a confusión, mayores costes de cumplimiento y dificultades para las relaciones comerciales entre la UE y EE. UU. ^{[ 6 ]} El Marco de Privacidad de Datos UE-EE. UU. (DPF) tiene como objetivo abordar estas preocupaciones. ^{[ 7 ] [ 8 ] [ 6 ]}

El Parlamento Europeo planteó serias dudas sobre si el nuevo acuerdo alcanzado por Ursula von der Leyen se ajusta realmente a las leyes de la UE, ya que aún no protege suficientemente a los ciudadanos de la UE de la vigilancia masiva estadounidense y no garantiza los derechos fundamentales en la UE. ^{[ 9 ]} Bajo la administración Trump surgieron dudas sobre el futuro del Marco. ^{[ 10 ]}

El Tribunal de Revisión de Protección de Datos de EE. UU. (DPRC) es un panel de tres jueces que conoce de las apelaciones presentadas contra las decisiones del Oficial de Protección de Libertades Civiles de la Oficina del Director de Inteligencia Nacional, según lo estipulado en el Marco de Privacidad UE-EE. UU. ^{[ 11 ]} Es un tribunal extrajudicial del poder ejecutivo, no un tribunal del Artículo III . ^{[ 12 ]}

Los miembros de la DPRC son nombrados por la Junta de Supervisión de la Privacidad y las Libertades Civiles (PCLOB, por sus siglas en inglés) para mandatos de cuatro años.

Las decisiones tomadas por la DPRC tienen efecto vinculante para la adjudicación. ^{[ 13 ] [ 14 ]} Ha habido críticas sobre su secretismo y posible eficacia. ^{[ 15 ]}

De forma similar al EEE, Suiza, miembro de la EFTA , y los EE. UU. también cuentan con un Marco de Privacidad de Datos entre Suiza y los EE. UU. en virtud de su Ley Federal de Protección de Datos (DSG) desde septiembre de 2024. ^{[ 16 ]}

El 25 de marzo de 2022, se anunció que la Comisión Europea y Estados Unidos se habían comprometido a un "Marco Transatlántico de Privacidad de Datos" en respuesta al fracaso del Escudo de Privacidad UE-EE. UU. ^{[ 1 ] [ 17 ]}

El 7 de octubre de 2022, el presidente de los Estados Unidos, Joe Biden, firmó la Orden Ejecutiva 14086 para implementar el marco, incluyendo la autorización y la orden de creación del Tribunal de Revisión de Protección de Datos de los Estados Unidos. ^{[ 11 ] [ 7 ]} La orden 5517-2022 del Fiscal General de los Estados Unidos, del 7 de octubre de 2022, estableció el tribunal. ^{[ 18 ]}

En mayo de 2023, el Comité Europeo de Protección de Datos aprobó el proyecto de decisión de adecuación de la Comisión, que se publicó el 13 de diciembre de 2022. ^{[ 19 ]}

Aunque no vinculante para la Comisión Europea, el 11 de mayo de 2023 el Parlamento Europeo votó a favor de una resolución que instaba a la Comisión a renegociar el Marco ^{[ 20 ]} y a no adoptar una conclusión de adecuación basada en que «el Marco de Privacidad de Datos UE-EE. UU. no crea una equivalencia esencial en el nivel de protección» frente a la vigilancia masiva estadounidense, en consonancia con los derechos fundamentales de la UE a la privacidad y la protección de datos. ^{[ 9 ]} La resolución fue aprobada por el Parlamento con 306 votos a favor y 27 en contra. ^{[ 21 ]}

El 10 de julio de 2023, la Comisión Europea adoptó su decisión de adecuación para el Marco de Protección de Datos UE-EE. UU., permitiendo así la transferencia de datos personales de la UE a EE. UU. sobre la base del artículo 45 del RGPD . ^{[ 3 ]}

En julio de 2023, la ONG NOYB (Centro Europeo para los Derechos Digitales) anunció que estaba lista para presentar una demanda para impugnar nuevamente el marco ante el Tribunal de Justicia de la Unión Europea . ^{[ 12 ]}

A partir del 6 de julio de 2024, el Comité Mixto del EEE incorporó la Decisión de Ejecución de la Comisión al Acuerdo del EEE, extendiéndola al Espacio Económico Europeo (EEE). ^{[ 4 ] [ 5 ]}

El 14 de agosto de 2024, el Consejo Federal Suizo emitió una decisión de adecuación para el Marco de Privacidad de Datos Suiza-EE. UU. en virtud de su Ley Federal de Protección de Datos (DSG). ^{[ 16 ]}

En enero de 2025, Trump destituyó a los miembros demócratas del Tribunal de Revisión de Protección de Datos, dejando a la junta de cinco miembros con solo un republicano, faltando los tres necesarios para tomar decisiones. Los despidos suscitaron preocupación sobre la independencia del Tribunal de Revisión de Protección de Datos. ^{[ 10 ]}

En junio de 2026, la Corte Suprema de los Estados Unidos dictaminó en el caso Trump contra Slaughter que las protecciones legales de eliminación de datos de la Comisión Federal de Comercio (FTC) eran inconstitucionales. La FTC es uno de los principales organismos de supervisión en el marco del Acuerdo UE-EE. UU. sobre privacidad de datos, y la legislación de la UE exige que las autoridades de protección de datos sean independientes. Tras el fallo, NOYB solicitó a la Comisión Europea que derogara el acuerdo por considerarlo inválido y anunció que presentaría una demanda en las próximas semanas para anularlo. ^{[ 22 ] [ 23 ]}

• Privacidad digital
• Puerto seguro (ley)

• Página web de la Comisión Europea sobre transferencias de datos entre la UE y EE. UU.
• Listado del Marco de Privacidad de Datos de la Administración de Comercio Internacional de EE. UU.
• Oficina de Privacidad y Libertades Civiles | Tribunal de Revisión de Protección de Datos
• Decisión de Ejecución UE 2023/1795 de la Comisión Europea sobre EUR-Lex
• 28 CFR Parte 201 (Tribunal de Revisión de Protección de Datos) del Código de Regulaciones Federales de los Estados Unidos del LII
• 28 CFR Parte 201 (Tribunal de Revisión de Protección de Datos) del Código de Regulaciones Federales de los Estados Unidos de la OFR