El Tribunal de Justicia de la Unión Europea (TJUE) ha rechazado este jueves una herramienta clave utilizada para transferir los datos personales de los europeos a empresas de EEUU para uso comercial, conocida como Privacy Shield. Aunque a la vez confirmó la validez de otra herramienta utilizada por cientos de miles de empresas para transferir datos en todo el mundo.
La institución ha dictaminado en su sentencia su preocupación sobre el Escudo de Privacidad pues los datos transferidos "no se limitan a lo estrictamente necesario" cuando se trata de exponer a los ciudadanos europeos a la vigilancia de EEUU. Es por ello que esgrime que todos los datos personales transferidos fuera del bloque deben "otorgar el nivel de protección esencialmente equivalente al garantizado dentro de la UE por el GDPR (Reglamento General de Protección de Datos)".
El TJUE expone así que las limitaciones de la protección de datos personales que se derivan de la normativa interna de los EEUU relativa al acceso y la utilización de los datos. El principal problema es que no se basan en el principio de proporcionalidad, ya que "en la medida en que los programas de vigilancia basados en la mencionada normativa no se limitan a lo estrictamente necesario".
Varapalo a Facebook
Este caso se inició de la mano de Maximiliam Schrems, un ciudadano austriaco, usuario de Facebook desde 2008, y quien se enfrentó a la compañía argumentando que las claúsulas contractuales carecían de suficientes garantías de protección de datos.
Schrems, que saltó a la fama por ganar una batalla legal en 2015 para anular Safe Harbor, el precedesor del Privacy Shield, explicaba que sus preocupaciones de la UE sobre las transferencias de datos aumentaron después de las revelaciones del ex contratista de inteligencia estadounidense Edward Snowden en 2013 sobre la vigilancia masiva de los EEUU.
El fallo es un varapalo para redes sociales como Facebook, pero también lo es para cientos de miles de empresas como gigantes industriales o fabricantes de automóviles, que utilizan estas cláusulas para transferir datos de clientes europeos a todo tipo de servicios que van desde infraestructura en la nube, alojamiento de datos, banca o marketing.
Eso sí, el TJUE explica que aunque los mecanismos eran ilegales, las actuales cláusulas contractuales estándar son válidas para transferir información personal de la UE a un tercer país, siempre que el país "garantice un nivel adecuado de protección de datos" o bien se enfrentarán a fuertes multas.
Schrems, satisfecho
Max Schrems por su parte se ha mostrado "muy contento con el fallo" a través de un comunicado que ha hecho público minutos después de conocerse la decisión del TJUE.
“Estoy muy contento con el juicio. (...) Está claro que EEUU tendrá que cambiar seriamente sus leyes de vigilancia si las empresas estadounidenses desean seguir desempeñando un papel importante en el mercado de la UE", comentó el activista.
Schrems ha añadido que "el Tribunal aclaró por segunda vez ahora que existe un choque entre la ley de privacidad de la UE y la ley de vigilancia de los EEUU. Como la UE no cambiará sus derechos fundamentales para complacer a la NSA, la única forma de superar este choque es que Estados Unidos introduzca derechos de privacidad sólidos para todas las personas, incluidos los extranjeros. La reforma de vigilancia se convierte así en crucial para los intereses comerciales de Silicon Valley".
"Este juicio no es la causa de un límite a las transferencias de datos, sino la consecuencia de las leyes de vigilancia de los EEUU. No se puede culpar al Tribunal por decir lo inevitable: cuando la mierda golpea al ventilador, no puede culpar al ventilador", sentenció.