Privacy Shield 3.0: nuevo acuerdo entre EE.UU. y Europa sobre privacidad

Puede que los posts sobre asuntos legales no sean lo más “sexy” del marketing digital, pero lo que sí tenemos todos claro es que resulta importantísimo conocer el marco legal de nuestra actividad.

 Este Privacy Shield 3.0 puede suponer un cambio en el eCommerce, tan trascendental como fue en su momento la revocación del acuerdo anterior ante los recelos que la Unión Europea tenía con respecto a las normativas norteamericanas de protección de datos.

Para entender mejor por qué ha sido necesaria esta evolución, es importante tener claro de dónde venimos.

 El asunto de la transferencia de datos entre Estados Unidos y Europa lleva siendo un dolor de cabeza para ambos organismos desde que el comercio electrónico empezó a coger fuerza.

 Los europeos, por norma, son bastante más escrupulosos en el cumplimiento de leyes como la RGPD, a lo que hay que sumar las normativas nacionales, que complementan y enriquecen ese marco legal (baste recordar, por ejemplo, como la AEPD abrió expediente a ChatGPT). Los americanos, por su parte, no diremos que sean más laxos, pero tienen otra perspectiva del asunto y sus propias normas, que no siempre están alineadas con las europeas.

Por eso se llegó a un acuerdo transatlántico de protección de datos bajo el nombre de Safe Harbor. No era perfecto, pero permitía que negocios como las tiendas online o herramientas que recogían datos personales, como las de emailing, pudiesen operar.

 ¿Qué se consideran datos de carácter personal por parte de la UE? Cualquier información concerniente a personas físicas: nombres, apellidos, dirección, teléfono, email, matrícula de un vehículo, imágenes, vídeos…

 El tratamiento de estos datos por parte de cualquier entidad, dentro o fuera del Espacio Económico Europeo, exigía el seguimiento de un protocolo que la Unión Europea entendió que no estaba siendo aplicado de la manera deseable. Entre otras cosas porque los Estados Unidos permitían el acceso a los datos y las transferencias de datos, y no permitía recurso alguno ante ninguna entidad.

 El activista austríaco Max Schrems elevó un recurso ante el Tribunal de Justicia de la Unión Europea demostrando que Estados Unidos vulneraba la protección de datos y, en 2015, se dictó sentencia a favor de Schrems y se anuló el Safe Harbor.

 Esto provocó un pequeño terremoto en el panorama digital, incluidas algunas multas sonadas como la que se llevó Facebook. Esto hizo que muchos eCommerce norteamericanos suspendiesen su actividad en Europa.

Para sortear el gran caballo de batalla, el escollo que había hecho caer el primer acuerdo de protección de datos transatlántico, se estableció uno nuevo en tan solo un año.

 Bajo el nombre de Privacy Shield, y gracias a la limitación del acceso a la información por parte de sus agencias de seguridad, la inclusión de un defensor del pueblo en esa materia y otros cambios efectuados por el gobierno estadounidense,  parecía que podía llegarse a un entendimiento.

 Pero Max Schrems no pensaba lo mismo. Por ello volvió a presentarse ante el TJUE y, una vez más, consiguió hacer caer el acuerdo.

Así llegamos a julio de 2023, con la necesidad de solucionar un problema bastante acuciante, especialmente en este entorno donde el mercado está globalizado.

 El pasado día 10 de julio vio la luz el Privacy Shield 3.0, con el objetivo de “garantizar el flujo de datos seguros para los europeos (suizos e ingleses incluidos) y que garantizará la seguridad jurídica a ambos lados del Atlántico”, en palabras de la presidenta Ursula von der Leyen.

 ¿Por qué esta vez debería prosperar? Estas son las razones que esgrime:

•  Se crea el DPRC: un tribunal de protección de datos que ejerce como garante de los derechos de los usuarios. El DPRC tiene el objetivo de mediar entre estos y las empresas, incluso fijando las medidas de reparación pertinentes.

• Se limita más el acceso a los servicios de inteligencia de Estados Unidos. Para hacer uso de los datos almacenados, tienen que demostrar que es necesario ese acceso, y sólo tienen derecho a utilizar los que sean estrictamente precisos de manera proporcional. Si recogieran datos personales fuera de este supuesto, su obligación es borrarlos inmediatamente (aunque esto no les eximiría de su responsabilidad penal).

 ¿Es suficiente cambio respecto a su antecesor? Parece difícil saberlo sin ser jurista, pero la sensación que da es de ser un poco más de lo mismo. Lo cierto es que se ha evolucionado y que, de momento, el veto a Estados Unidos ha sido levantado por la UE.

Pero aquí entra en juego un “viejo conocido”: Max Schrems. El austríaco no tiene nada claro que el Privacy Shield 3.0 ofrezca las garantías necesarias. Esto puede significar un tercer asalto en los tribunales (y ya sabemos cómo acabaron los anteriores).

Imágenes | Unsplash, Bonobos.