En busca del bálsamo de Fierabrás
El 25 de junio de 2013, el Sr.Schrems, un usuario de Facebook, nacional de Austria y residente en ese mismo país, alertado por el mediático caso Snowden, que ponía de manifiesto el espionaje masivo sobre múltiples datos personales realizado por la National Security Agency (NSA), reclama ante el Data Protection Commissioner irlandés, que prohíba a Facebook transferir sus datos personales a los EE UU. Este es el origen de la sentencia de 6 de Octubre del Tribunal de Justicia de la Unión Europea (TJUE) , que invalida la Decisión 2000/520 sobre puerto seguro y origina una brecha para quienes venían empleando este sistema, en los procedimientos de transferencia de datos personales a los EE UU.
El procedimiento, que a través de la decisión invalidada, permitía la transferencia de datos personales a los EE UU, permitía que empresas y entidades estadounidenses que cumplían los principios de puerto seguro (safe harbor) podían solicitar, tras un sistema de autocertificación ante la Federal Trade Commission (FTC), adherirse a este sistema, de modo que podían transferir datos desde Europa a Estados Unidos sin que para ello fuese necesaria autorización por parte de la Autoridad de Protección de Datos del país europeo en cuestión –en España, el director de la Agencia Española de Protección de Datos (AEPD)–. Estos días, respecto a este procedimiento, se ha podido leer y oír en distintos medios de comunicación, que el sistema safe harbor, era una especie de acuerdo entre la UE y EE UU para que se pudiesen transferir datos personales, a modo de convenio internacional en esta materia; no es así, nada más lejos de la realidad ya que no existe este tipo de acuerdo con los EE UU –curiosamente sí con la mayoría de países de Latinoamérica– y solo se permitía la transferencia de datos a las empresas y entidades de EE UU que se adherían de forma individual a este sistema, no así a todas las empresas o entidades de EE UU indiscriminadamente, importante diferencia (la lista de esas empresas adheridas al sistema de puerto seguro puede ser consultada en https://safeharbor.export.gov/list.aspx; y entre ellas, curiosamente, está Facebook). En la tesitura planteada por la sentencia del Tribunal de Justicia de la UE, es importante destacar que, no siendo ya valido el sistema de puerto seguro, se hacen indispensables remedios jurídicos que actúen sobre el nuevo escenario y en, este sentido, la propia sentencia aporta –no muy acertadamente– como posible solución, la utilización de otras vías para realizar transferencias internacionales (cláusulas contractuales tipo y las binding corporate rule, BCR).
En honor a la verdad, el sistema de puerto seguro no ha sido el único procedimiento válido legalmente para proceder a la transferencia de datos a EE UU, existiendo ya antes de esta sentencia, vías alternativas a través de excepciones de la propia normativa legal en materia de protección de datos, que hoy por hoy, siguen siendo perfectamente válidas y que los despachos de abogados especializados en protección de datos ya empleábamos y seguiremos empleando en la dirección de hacer más eficiente, económica y segura la actividad de los clientes a los que defienden y asesoran.
Las Autoridades de Protección de Datos (DPA), tienen la buena voluntad, a partir de finales de enero de 2016 de dar con los ingredientes del mágico bálsamo de Fierabrás que cure esta herida y materializado en guía precisa, indique cómo proceder para poder alojar datos personales en los EE UU, en sustitución del sistema de puerto seguro. Y es que si hay alguien que sale reforzado de esta sentencia que da la lanzada a la vía safe harbor para la transferencia internacional de datos desde Europa a EE UU, esas son precisamente las DPA (hay que recordar que en nuestro país, esa entidad es la Agencia Española de Protección de Datos). Quienes han visto como única vía posible el sistema invalidado están a la espera, dejando la pelota en el tejado de las Autoridades de Protección de Datos, otros seguimos con las vías empleadas hasta ahora, hasta que estas autoridades marquen un camino alternativo que implique unos trámites que sean realmente más efectivos y dinámicos que el ya moribundo sistema safe harbor. El bálsamo que los profesionales de la protección de datos venimos aplicando como remedio a la tediosa burocratización de la transferencia de datos a los EE UU, es hoy por hoy, la vía más práctica. Ya hace tiempo que los especialistas venimos empleando nuestro propio bálsamo de Fierabrás con probada eficacia.
Jesús Mateo Raposo es socio director de MMYA Abogados.
María Delgado es directora del departamento de Protección de Datos de MMYA Abogados.