Invalidado el Acuerdo de Puerto Seguro. ¿Y ahora qué?

Como norma general no pueden realizarse transferencias internacionales de datos a países que no proporcionen un nivel de protección equiparable al que exige la Ley española, salvo que se obtenga autorización previa del Director de la Agencia de Protección de Datos. Esta autorización no es necesaria en algunos casos, entre ellos cuando la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado. Uno de estos casos, hasta ahora, era que la transferencia fuese a EEUU, a entidades acogidas al acuerdo de Puerto Seguro, Safe Harbor, y ello por virtud de la Decisión de la Comisión 2000/500/20CE, por la cual se pronunció sobre la adecuación conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América.

El varapalo al acuerdo de Puerto Seguro ha venido de la mano del Tribunal de Justicia de la Unión Europea, que el pasado 6 de octubre de 2015, ha dictado una sentencia por la cual declara que la Decisión de Puerto Seguro es inválida. Y ello porque el Tribunal Europeo entiende que prevalece incondicionalmente y sin ninguna limitación “la seguridad nacional, el interés público o el cumplimiento de la ley” sobre los derechos fundamentales a la intimidad y la protección de datos, sin otorgar a los ciudadanos europeos ningún medio para obtener la tutela efectiva de esos derechos. Y por otro lado porque no otorga a los Estados miembros un margen suficiente para suspender las transferencias en caso de que estos apreciaran una vulneración de los derechos de los ciudadanos europeos.

Son muchas las empresas españolas que realizan transferencias internacionales a Estados Unidos Puerto Seguro, por ejemplo todas las que usan Gmail, MailChimp, Dropbox, Google Drive, Facebook, etc. ¿Qué pasa ahora con estas transferencias?

Las Autoridades de protección de datos de los Estados miembros de la Unión Europea, reunidas en el Grupo de Trabajo del Artículo 29, del que forma parte la Agencia Española de Protección de Datos, han publicado una declaración conjunta sobre las primeras consecuencias que se pueden extraer a nivel europeo y nacional tras el histórico fallo de la Corte de Justicia de la Unión Europea (TJUE) de 6 de octubre de 2015. Lo procedente ahora es que la Unión Europea inicie una negociación con las autoridades de EEUU con el fin de encontrar una solución, y llegar a un acuerdo por el que se asegure mayores garantías a los interesados de la Unión Europea.

Lo que se ha dejado claro en esta declaración en cuanto a las consecuencias prácticas de la sentencia del TJUE, es que las transferencias procedentes de la Unión Europea a EEUU ya no se pueden enmarcar en la Decisión de Adecuación de la Comisión Europea 2000/520/CE (la llamada “Decisión Puerto Seguro”). En cualquier caso, las transferencias que aún se estén llevando a cabo bajo la Decisión Puerto Seguro tras la sentencia del TJUE son ilegales.

A la vista de lo anterior, en tanto se busque una solución, lo que se puede hacer es: o cambiar a un proveedor que tenga sus servidores en la Unión Europea o en un país declarado que garantiza un nivel adecuado de protección, si se puede solicitar al afectado el consentimiento inequívoco a la transferencia prevista; o solicitar la autorización del Director de la Agencia de Protección de Datos. Para este último caso, ente otras cosas, hay que aportar un contrato escrito, celebrado entre el exportador y el importador, en el que consten las necesarias garantías de respeto a la protección de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos.

Sobre los que se preguntan muchos, ¿Van a haber sanciones para los que continúen llevando a cabo transferencias? No tengo la respuesta, pero el sentido común me dice que de inmediato no lo creo, pero habrá que ir tomando medidas para adaptarse a la nueva situación.