Resolución del Parlamento Europeo: Un nuevo golpe al EU-US Privacy Framework

Este mayo ha sido publicada la resolución del Parlamento Europeo, en la que valora la propuesta de la que pretende ser la solución a los quebraderos de cabeza para todas aquellas empresas que realizan de forma continua transferencias internacionales a Estados Unidos: el EU-US Privacy Framework.

Por desgracia para estas empresas, cada valoración realizada (recordemos que previamente ya había emitido su resolución el Comité Europeo de Protección de Datos) por los organismos de la Unión Europea supone un nuevo varapalo para este esperado mecanismo de garantía de las transferencias internacionales.

En este caso concreto, el Parlamento Europeo, tras un análisis exhaustivo de la situación actual ha instado a la Comisión Europea a no aprobar esta nueva decisión de adecuación a menos que se introduzcan reformas significativas, en particular con fines de seguridad nacional e inteligencia.

Esto se debe a que el Parlamento considera que, si bien Estados Unidos está haciendo importantes progresos en mejorar el acceso a los recursos y las normas sobre tratamiento de datos por parte de las autoridades públicas, los principios “Privacy Framework” emitidos por el Departamento de Comercio de Estados Unidos no han sido suficientemente modificados todavía, en comparación con los “Privacy Shield”, como para que pueda considerarse que proporcionan una protección esencialmente equivalente a la prevista en el Reglamento General de Protección de Datos (“RGPD”).

Entre otras cosas, el Parlamento ha tenido en cuenta aspectos esenciales, como, por ejemplo:

·  Que, aunque se ha creado un nuevo mecanismo que permite a los interesados de la Unión Europea presentar una reclamación en caso de infracción de sus derechos de protección de datos ante la Data Protection Review Court (“DPRC”), las decisiones de este organismo son secretas. Por tanto el usuario solo sabe que, en la revisión, no ha detectado ninguna infracción o, por el contrato, que se ha emitido una resolución que exige la adopción de medidas apropiadas, pero no el porqué de estas decisiones.

·  Que dicho mecanismo no prevé una vía de recurso ante un tribunal federal y, por lo tanto, entre otras cosas, no ofrece ninguna posibilidad de que el denunciante reclame daños y perjuicios.

·  Que el Presidente de los Estados Unidos puede anular las decisiones del DPRC incluso en secreto y que el nuevo mecanismo de recurso no permite al Fiscal General de Estados Unidos destituir o supervisar a los jueces del DPRC. Por lo tanto, el Parlamento considera que estos jueces no son realmente independientes.

·  Que aún existen dudas sobre la eficacia de los recursos disponibles para las cuestiones comerciales, que no se modifican en virtud de la decisión de adecuación; observa que los mecanismos destinados a resolver estas cuestiones se dejan en gran medida a la discreción de las empresas.

·  Por último, también manifiesta su preocupación por el hecho de que la Orden Ejecutiva en la que se regulan estas nuevas medidas puede ser enmendada o revocada en cualquier momento por el Presidente de Estados Unidos.

Por todo lo anterior, el Parlamento se muestra claramente contrario a la aprobación del Privacy Framework en la situación actual, e insta a la Comisión a seguir negociando con Estados Unidos y a esperar a que se desarrollen las medidas propuestas antes de validar dicho mecanismo, para poder evaluar su solidez en mayor medida.

Por último, le recuerda el Parlamento a la Comisión Europea que será suya la responsabilidad de no proteger los derechos de los ciudadanos de la Unión Europa en el supuesto de que la decisión de adecuación sea invalidada por el Tribunal de Justicia de la Unión Europea de nuevo, en un intento de ejercer presión ante esta Comisión por los tremendos fallos derivados de la invalidación del Safe Harbor y del Privacy Shield, los acuerdos que precedían a este Privacy Framework.

Todo parece indicar que no se va a alcanzar el objetivo de la Comisión Europea de tener un nuevo acuerdo este verano, por lo que las empresas van a tener que seguir haciendo malabares para cumplir, en la medida que es posible, sus obligaciones legales al tiempo que, en muchos casos, siguen sin poder cambiar de proveedores por no encontrar servicios de la misma calidad en territorio de la Unión Europea o los países declarados como adecuados por la misma.

Enrique Extremera Maestro, Head of Privacy, Legal Army