Las implicaciones de la reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE) que ha invalidado el acuerdo Safe Harbor siguen generando un importante debate en el ámbito de la protección de datos. El fallo ha provocado que las empresas que almacenen y procesen datos de personas físicas o jurídicas europeas en Estados Unidos, deban autocertificarse ante las autoridades federales, para garantizar que cumplen con siete principios elementales de protección de datos.
El acuerdo Safe Harbor, también conocido como Puerto Seguro, toma su nombre de una ciudad y puerto de Florida que evitó los ataques de piratas en el siglo XVIII. Este acuerdo, que entró en vigor en 1998, prohibía cualquier transferencia de datos personales fuera de los Estados del Espacio Económico Europeo (EEE). Sin embargo, el Departamento de Comercio de Estados Unidos y la Comisión Europea acordaron crear un espacio para las empresas estadounidenses, siempre y cuando cumplieran con las normas relativas a la protección de datos personales.
Las empresas adheridas a este acuerdo están obligadas a certificar que garantizan la protección de la integridad de los datos y que no los transferirán a terceros. Entre las empresas unidas a este acuerdo, publicada por el Departamento de Comercio de Estados Unidos, se encuentran gigantes tecnológicos como Google, Apple, Facebook, y Amazon, además de un buen número de empresas especializadas en la inteligencia de datos.
El cuestionamiento de Safe Harbor se inició cuando Edward Snowden reveló que las empresas estadounidenses proporcionaban datos a las agencias de inteligencia de Estados Unidos. El golpe definitivo llegó con la demanda EUROPE versus FACEBOOK, liderada por el austriaco Max Schrems, que demostró que las redes sociales hacen transferencias sustanciales de todos los datos de usuarios a servidores en Estados Unidos.
Según la sentencia del TJUE del 6 de Octubre de 2015, para los servicios de inteligencia de Estados Unidos, esto no tendrá ninguna consecuencia a corto plazo. Sin embargo, para las empresas adheridas al acuerdo, como GAFA, la invalidez del acuerdo puede parecer un duro golpe. Aunque estas empresas podrán seguir funcionando como hasta ahora, en caso de reclamación legal por parte de algún usuario o cliente, no podrán alegar que su actuación está amparada por un acuerdo que ya no está en vigor.
Ante la falta de un acuerdo entre la UE y EEUU que legitime las transferencias de datos, las empresas españolas y europeas deben buscar otro elemento que las legitime. En general, la legitimidad para realizar transferencias a un tercer país, se halla en la obtención de una autorización por parte de la Agencia de Protección Datos. Sin embargo, existen supuestos en los que no es necesario solicitar una autorización, como cuando la transferencia se realiza a una empresa situada en un país que ofrezca un nivel adecuado de protección, o cuando el usuario haya dado su consentimiento inequívoco e informado sobre la transferencia.
Grandes empresas como Facebook y Google ya han afirmado que disponen de fórmulas alternativas y/o paralelas, como las Normas Corporativas Vinculantes (binding corporate rules) y un modelo de cláusulas contractuales. En ambos casos, se trata esencialmente de seguir procedimientos de aprobación separados, que pueden ser comunitarios o acogerse a las leyes nacionales de los países miembros. De forma similar, Microsoft ha afirmado que “nuestros términos de uso dejan claro que nuestro servicio consiste en transferir datos entre usuarios, y a eso se limita nuestro papel”.
Por su parte, Salesforce ha declarado que “ha tomado medidas para asegurar a sus clientes del cumplimiento de la legislación vigente”. Amazon ha informado de que sus servicios cloud en Europa han sido declarados conformes por el grupo de trabajo del artículo 29, órgano consultivo de la UE en materia de protección de datos. Box, empresa de almacenamiento de ficheros en la nube, ha comunicado que utilizará la infraestructura de IBM en Europa para almacenar datos.
Por otro lado, la Agencia Española de Protección de Datos (AEPD) ha decidido utilizar WhatsApp, un servicio no regulado en Europa, para abrir un canal de comunicación que ayude a preservar la identidad de los menores en Internet. Aunque WhatsApp afirma ser seguro, en un Score Card que elaboró EFF, WhatsApp no destaca precisamente por su seguridad.
Es importante destacar que si bien es positivo que la Justicia Europea ponga el foco en cuestiones relativas al uso de los datos, el control de la privacidad y la seguridad de los ciudadanos europeos, esta sentencia destaca el desequilibrio existente entre las consecuencias para las empresas estadounidenses y las europeas. Mientras que las primeras han sabido aprovechar la oportunidad que les brindó Safe Harbor, desarrollando productos y servicios basados en datos de europeos («Big data»), las empresas europeas parecen haber dejado pasar esta oportunidad.