El Tribunal de Justicia de la Unión Europea (TJUE), el tribunal supremo de los supremos de la Unión Europea (UE), ha anulado el acuerdo que permitía a compañías tecnológicas, como Facebook, transferir datos desde los servidores de la UE hacia los EE.UU.
Esta es la consecuencia del caso Comisionado para la Protección de Datos contra Facebook Ireland Limited y Maximillian Schrems, C-311/18, por el que el TJUE ha sentenciado hoy que el llamado «Escudo de Privacidad» no protege adecuadamente los datos de los ciudadanos europeos de las leyes de vigilancia y seguridad de los Estados Unidos y, por lo tanto, no es válido.
Dicho de otra manera, dicho «Escudo de Privacidad» permite el acceso a esa información sobre ciudadanos europeos a los servicios de inteligencia de los Estados Unidos por cuestiones de seguridad nacional.
Y eso no es admisible, según el TJUE.
El tribunal, formado por los magistrados Koen Lenaerts (Bélgica), presidente del TJUE y de esta corte; Rosario Silva de Lapuerta (España), vicepresidenta del TJUE; Alexander Arabadjiev (Bulgaria); Alexandra Prechal (Holanda); Michail Vilaras (Grecia); Marek Safjan (Polonia); Siniša Rodin (Croacia); Peter George Xuereb (Malta); Lucia Serena Rossi (Italia); Irmantas Jarukaitis (Lituania); Marko Ilešič (Eslovenia); Daniel Šváby (Eslovaquia) y Thomas von Danwitz (Alemania), considera que el acuerdo que sustenta dicho escudo no protege suficientemente los datos de los ciudadanos europeos.
La Comisión de Protección de Datos ha acogido con gran satisfacción la sentencia de hoy del TJUE.
En un comunicado, la Comisión afirma que la sentencia respalda firmemente la posición de que los ciudadanos de la UE no disfrutan del nivel de protección que exige la legislación de la UE cuando sus datos se transfieren a los EE.UU.
La Carta de Derechos Fundamentales de la UE, cada ciudadano tiene derecho a que se protejan sus datos personales.
Ese derecho está respaldado en gran medida por el Reglamento General de Protección de Datos (RGPD).
Dicho RGPD no se aplica en aquellos países que no pertenecen a la UE, denominados oficialmente «terceros países». Para que la información fluya fuera de la UE las empresas deben aceptar actuar como si lo hicieran.
Lo que no es verdad.
Porque, en el caso de los EE.UU., la legislación de ese país obliga a empresas tecnológicas, como Facebook, Google, Apple y Twitter, a permitir el acceso a los datos en su poder por motivos de seguridad nacional.
EL ORIGEN DEL CASO
Todo comenzó cuando el ciudadano y activista austriaco, Maximillian Schrems, usuario de Facebook desde 2008, presentó una denuncia ante la autoridad supervisora irlandesa solicitando que sus datos personales fueran transferidos por Facebook Ireland a servidores pertenecientes a Facebook Inc., situados en los Estados Unidos, donde se procesan.
Schrems afirmaba que la legislación y las prácticas de los Estados Unidos no ofrecen suficiente protección contra el acceso de las autoridades públicas a los datos transferidos a ese país.
La denuncia fue inadmitida porque la Comisión Europea había dicho –en su Decisión 2000/5205, sobre el «puerto seguro»– que los Estados Unidos garantizaban un nivel de protección adecuado.
Sin embargo, el TJUE se pronunció, mediante una sentencia dictada el 6 de octubre de 2015, anulando dicha «Decisión». Un procedimiento que también instó Schrems.
A raíz de la «sentencia Schrems I», que es como se la conoció, y la subsiguiente anulación, la autoridad de supervisión irlandesa pidió al ciudadano austriaco que reformulara su reclamación a la luz de la declaración del tribunal de que la Decisión 2000/520 no era válida.
Y lo hizo, afirmando que los Estados Unidos no ofrecen suficiente protección de los datos transferidos a ese país.
Solicitó la suspensión o la prohibición de futuras transferencias de sus datos personales de la UE a los Estados Unidos, que Facebook Irlanda lleva a cabo ahora en virtud de las cláusulas estándar de protección de datos establecidas en el Anexo de la Decisión 2010/87.
La Corte Suprema irlandesa elevó, entonces, la cuestión prejudicial a Luxemburgo para que el TJUE se pronunciara en los términos expuestos al principio de este artículo.
