La Justicia europea anula el “cheque en blanco” a EEUU para tratar nuestros datos personales

Estamos ante la victoria de David contra Goliat, del pequeño activista frente al gigante norteamericano. La denuncia interpuesta por el ciudadano austriaco Max Schrems desembocó este martes 6 de octubre en una sentencia del Tribunal de Justicia de la UE (TJUE) por la que se anulaba el Safe Harbor, el pacto que permite que las empresas norteamericanas envíen a Estados Unidos los datos recopilados de los europeos.

En el origen de la disputa legal, se encuentra la directiva europea 95/46/CE relativa a la protección de datos personales que prohíbe el envío de datos obtenidos en Europa a terceros países con nivel de protección inferior al vigente en los 31 Estados miembros del Espacio Económico Europeo.

No obstante, para facilitar que las compañías europeas cumplieran con la nueva directiva, el Departamento de Comercio de Estados Unidos y la Comisión Europea alcanzaron un acuerdo, que se firmó en 2000 y que se conoce como Safe Harbor o puerto seguro. Éste proporciona el amparo jurídico necesario a las empresas norteamericanas, a las que les facilita el acceso a los datos europeos pese a la legislación nacional vigente. Para ello, se requiere que las empresas estadounidenses cuenten con una certificación, que se otorga conforme a una lista de supuestos: la información de los internautas, la protección de los datos, el compromiso de no transmitirlos a terceros países que no ofrezcan garantías suficientes. Esta certificación se renueva con carácter anual. A día de hoy, más de 5.000 compañías norteamericanas, entre las que se encuentran las más importantes, se acogen al pacto Safe Harbor: Microsoft, Google, Facebook, Amazon, General Motors...

Este pacto derogatorio de la directiva de 1995 hace años que era objeto de criticas por las numerosas deficiencias que presenta; se había llegado a poner en cuestión incluso que los norteamericanos respetasen las reglas del juego. Para empezar, las empresas norteamericanas tienen potestad para certificarse a sí mismas. Pero, sobre todo, llama la atención una cláusula del Safe Harbor que autoriza a los servicios de inteligencia norteamericanos a recabar datos de usuarios europeos en caso de existir una amenaza para la seguridad nacional. Las revelaciones de Edward Snowden sobre el dispositivo mundial de vigilancia instaurado por Estados Unidos pusieron al descubierto que los servicios de este país han usado y abusado de estas prerrogativas.

El 12 de marzo de 2014, además, el Parlamento Europeo adoptó una resolución, como consecuencia de las denuncias de Edward Snowden, que abogaba por la suspensión del Safe Harbor. “Se ha producido un grave atentado contra la confianza”, afirmaban por aquel entonces los parlamentarios europeos. “Un atentado contra la confianza entre los dos socios trasatlánticos, la confianza entre los ciudadanos y sus gobiernos, la confianza con relación al respeto del Estado de derecho y la confianza en la seguridad de los servicios y de las telecomunicaciones informáticas”.

Sin embargo, Max Schrems no esperó a la denuncia de Edward Snowden para emprender su particular batalla. Su lucha se remonta a principios de 2011. Por aquel entonces, era un joven estudiante de 24 años que pasaba un semestre en la Universidad de Santa Clara, en Silicon Valley. Allí Max Schrems asistió a una conferencia pronunciada por el jurista de Facebook, Ed Palmieri, especializado en privacidad. Max Schrems, sorprendido por la particular visión del abogado relativa a la protección de la vida privada y por su despreocupación por la legislación europea, decidió realizar su tesis sobre la políticas de Facebook en la materia. El propio estudiante disponía de un perfil en la red social, que acababa de cerrar. En el transcurso de sus investigaciones, consiguió que el gigante norteamericano le proporcionase una copia en CD de todos los datos personales que había recopilado de él en esos tres años.

Dichos datos, una vez impresos, ocupan más de 1.200 páginas de documentos en las que figuran los Me gusta, los estados, las peticiones de amistad, los mensajes enviados, eventos... Me gustaPero Max Schrems descubrió sobre todo que Facebook también había conservado informaciones que él mismo había eliminado y, ante todo, mensajes comprometedores. De regreso en Austria, el estudiante inició una verdadera cruzada judicial contra el gigante norteamericano y abrió el sitio Europe vs Facebook, donde se recogen con detalle los procedimientos abiertos y se explica cómo pueden reclamar los internautas sus datos personales. Se han presentado al menos 22 demandas ante las autoridades competentes en protección de la vida privada de Irlanda, país en el que está radicada la sede europea de Facebook.

En 2013, poco después de conocerse las primeras denuncias de Edward Snowden, Marx Schrems se dirigió al comisario de Protección de Datos (DPC) irlandés, Billy Hawkes, para solicitar la paralización del envío de datos de ciudadanos europeos a Estados Unidos. Pero en el mes de julio, éste rechazó su demanda por que el tratamiento que las empresas norteamericanas daban a los datos personales cumplía con el pacto Safe Harbor. “Europa y Estados Unidos tienen un acuerdo, en vigor en Europa, relativo a la libre circulación de datos personales”, apuntaba Billy Hawkes. Marx Schrems se dirigió entonces a la máxima jurisdicción irlandesa, el Alto Tribunal de ese país, para impugnar el rechazo del DPC. Un año después, en julio de 2014, la Justicia irlandesa decidía anular su sentencia y se dirigía al TSJUE para que dirimiese sobre el estatus del Safe Harbor, raíz de las denuncias de Edward Snowden.

La Comisión y los Estados deben cumplir con sus obligaciones

El abogado general del Tribunal Europeo, Yves Bot, sorprendió a propios y a extraños a finales de septiembre al hacer públicas sus conclusiones, en las que abogaba por anular el Safe Harbor. “Cierto número de revelaciones recientes han sacado a la luz la existencia de programas norteamericanos de recopilación de datos a gran escala”, escribía. “Estas revelaciones provocaron una honda inquietud en lo que concierne al respeto de las normas de derecho de la Unión Europea en materia de envío de datos de carácter personal a empresas establecidas en Estados Unidos y en relación a las deficiencias del sistema del puerto seguro”, añadía el magistrado.

En el dictamen final del TJUE dado a conocer este martes se plasma buena parte del análisis del abogado general. Fundamentalmente, los jueces europeos reprochan a la Comisión Europea que ofreciera un cheque en blanco a las compañías norteamericanas al no establecer un verdadero control de la aplicación del acuerdo Safe Harbor, especialmente a raíz de las revelaciones de Edward Snowden. “Corresponde a la Comisión verificar de forma periódica si la comprobación relativa al nivel de protección adecuado asegurado por el tercer país aún está justificada de hecho y de derecho. En todo caso, se impone una comprobación cuando hay indicios que hacen dudar en ese sentido”. Los jueces recuerdan también a la Comisión que ella misma había “indicado que todas las empresas que participan en el programa PRISM [...], que permiten a las autoridades americanas tener acceso a los datos almacenados y tratados en Estados Unidos, parecen estar certificadas en el marco del puerto seguro”, y que éste “se ha convertido por tanto en una de las vías mediante la cual las autoridades norteamericanas de inteligencia acceden a recabar datos personales inicialmente tratados en la Unión”.

El TJUE llama también al orden a las autoridades nacionales al reafirmar que el pacto Safe Harbor no debía conducir a acabar con el control de grandes organismos como el CNIL francés. “Estos organismos deben estar dotados de los medios necesarios para ejecutar sus funciones, bien sea de la facultad de investigar y de intervenir, sobre todo cuando las autoridades reciben reclamaciones, o de la capacidad de recurrir ante la justicia”.

Esta decisión histórica en materia de protección de datos personales no implica que Facebook, Google, etc. no puedan, de un día para otro, enviar datos personales a Estados Unidos. Como recuerda el sitio NextInpact, el derecho europeo prevé excepciones que permiten el envío de datos a terceros países, como las cláusulas contractuales o los códigos de buena conducta interna. Además, esta sentencia llega mientras norteamericanos y europeos negocian una nueva versión del Safe Harbor. Estas delicadas conversaciones debían haber concluido el 31 de mayo de 2015, pero no fue así. Ahora se espera que el acuerdo se alcance en 2016.

“Es importante que los flujos de datos trasatlánticos puedan continuar porque son la espina dorsal de nuestra economía”, ha dicho la comisaria europea de Justicia y Consumidores, en un comunicado: “Déjenme que les recuerde”, ha manifestado en respuesta a las críticas del TJUE, "que tras las revelaciones de Snowden en 2013, la Comisión identificó las lagunas existentes en el pacto Safe Harbor e hizo 13 proposiciones concretas para convertir el Safe Harbor es un acuerdo más seguro”.

La sentencia del TJUE, aunque no ponga término a la vigilancia norteamericana de los datos europeos, no deja de ser una victoria capital para los defensores de la vida privada. Además, el hecho de que este dictamen pueda servir de referencia en el futuro a la hora de emprender determinadas acciones, puede adquirir mucho peso en las negociaciones trasatlánticas en curso. También establece jurídicamente lo que debe ser una “protección adecuada” de los datos personales y recuerda a las autoridades europeas y nacionales cuáles son sus obligaciones.

“La Quadrature du Net se felicita por esta sentencia valiente del TJUE e insta a que se apliquen los principios a los diferentes asuntos legislativos en curso relativos a los datos personales y la vigilancia”, reclama la asociación en defensa de las libertades digitales en un comunicado en el que se hace mención, sobre todo, a la ley de inteligencia y a la ley sobre la vigilancia internacional que se tramita en el Parlamento galo. “Apelamos a los legisladores franceses y europeos a actuar en consecuencia, a trabajar en la protección de los ciudadanos en el interior de la Unión y a revisar la normativa en materia de vigilancia aprobadas en diferentes países europeos, sobre todo en Francia”, prosigue Adrienne Charmet, coordinadora de campañas de La Quadrature.

Los socialistas portugueses, en la encrucijada tras el revés en las urnas

Ver más

La sentencia también ha sido bien recibida por los eurodiputados socialistas y radicales. “La protección de los datos personales supone para nosotros una línea roja. La Comisión Europea se negó escuchar al Parlamento Europeo cuando le pedimos en marzo de 2014 que suspendiese de forma inmediata el Safe Harbor”, señalan en un comunicado. “Ahora, debe respetar el derecho y encontrar su papel de guardían de los tratados y del interés general de la Unión. Desde ahora se debe trabajar en una proposición de ley ambiciosa dirigida a proteger mejor la vida privada de los europeos”.

Incluso Edward Snowden, desde su cuenta de Twitter, que ha abierto recientemente, ha conminado a Francia a darse prisa, en la ley de vigilancia, a votar las mismas disposiciones legales que han permitido la anulación del Safe Harbor.

Traducción: Mariola Moreno