La Unión Europea (UE) quiere alcanzar en un plazo de tres meses un nuevo acuerdo con EEUU de protección de la transferencia de datos personales, después de que el Tribunal de Justicia de la Unión Europea anulara hace un mes el actual marco entre las partes, conocido como «Safe Harbour» o Puerto Seguro.
«Considero que EEUU y la UE tenemos todas las herramientas a mano para alcanzar (un nuevo acuerdo) en tres meses, pero quiero ser claro: necesitamos una solución segura a prueba de bala y nuestro objetivo es un marco seguro para la transferencia de datos a través del Atlántico», señaló hoy el vicepresidente comunitario para el Mercado Único Digital, Andrus Ansip.
El Tribunal de Justicia de la UE invalidó el pasado 6 de octubre una decisión de la Comisión Europea (CE) que declaraba que EEUU garantiza una protección adecuada de los datos personales y avalaba la transferencia de esa información, en una sentencia histórica que obliga a Bruselas a negociar un nuevo marco más fuerte y seguro.
Tras la sentencia, las 28 autoridades nacionales de protección de datos emitieron una declaración sobre las consecuencias de la sentencia y confirmaron que las transferencias a EEUU pueden basarse en instrumentos alternativos hasta al menos finales de enero de 2016, explicó la comisaria europea de Justicia, Vera Jourová.
De ahí que la UE y EEUU dispongan de tres meses para negociar un nuevo acuerdo, límite que también envía el «mensaje de que tenemos mucha urgencia» para concluir un marco reforzado, indicó Ansip.
La comisaria viajará la próxima semana a Washington para «abordar las negociaciones para un nuevo acuerdo con EEUU al más alto nivel».
Para dar respuestas a las empresas que transfieren datos a EEUU, la CE ha publicado hoy orientaciones sobre las posibilidades que tienen hasta que se instaure un nuevo marco.
Las empresas pueden proseguir las transferencias de datos sobre la base de cláusulas contractuales que deben constituir obligaciones, tales como medidas de seguridad, información al interesado y garantías en caso de transferencia de datos sensibles.
También pueden recurrir a normas corporativas vinculantes para las transferencias intragrupales, que permiten la libre circulación de datos personales entre las diferentes sucursales de una sociedad de ámbito mundial.
Tienen que ser autorizadas por la autoridad de protección de datos de cada Estado miembro desde el que la multinacional desee transferir datos.
La directiva de Protección de Datos de la UE incluye además excepciones en virtud de las cuales datos pueden ser transferidos si se cumplen ciertas condiciones.
Por ejemplo para cumplir un contrato -pueden transferirse datos personales con objeto de reservar un vuelo o una habitación de hotel en EEUU-, o sobre el consentimiento libre e informado de la persona afectada, así como si se trata del reconocimiento, ejercicio y defensa de un derecho en un procedimiento judicial.
El consentimiento individual debería ser, en opinión de la CE, «un paso de último recurso», aunque Jourová recalcó que depende de las empresas -incluidas gigantes como Facebook- decidir cuál de las alternativas elegir, siempre que garanticen una protección adecuada.
La CE quiere que el nuevo marco que negocia con EEUU cumpla los requisitos identificados en la sentencia, sobre todo en relación a las limitaciones y garantías del acceso a los datos por parte de las autoridades públicas de EEUU y la existencia de un control judicial.
En el marco de la sentencia, también deberán modificarse otras decisiones para garantizar que las autoridades de protección de datos sigan teniendo libertad para investigar las quejas presentadas por particulares, especificó Jourová.
La comisaria señaló que la UE y EEUU pueden avanzar en sus negociaciones sobre la base de las que ya han mantenido desde 2014 para hacer la transferencia de datos más segura, y recalcó que desde la sentencia comunitaria las partes han celebrado ya «varias rondas» de conversaciones en las que Bruselas «ha dicho lo que quiere».
«Ahora corresponde a EEUU volver con una respuesta», recalcó la comisaria.
