El EU-US Privacy Shield, mecanismo de certificación para empresas de Estados Unidos que transfieren datos personales de la UE, acaba de ser puesto en duda por el Parlamento Europeo. En una de sus últimas resoluciones, el Parlamento Europeo amenaza con pedir la suspensión del mecanismo de no cumplir EEUU con las medidas estipuladas y por tanto no ofreciendo “un nivel de protección adecuado”.
Concretamente, la fecha fijada para que el EU-US Privacy Shield cumpla con los requisitos exigidos por Europa es el 1 de septiembre de 2018.
El EU-US Privacy Shield pierde credibilidad
Este mecanismo de autocertificación -que actualmente viene siendo utilizado por cerca de 4.000 organizaciones de EEUU tales como Google, Facebook o Amazon- queda realmente comprometido y su futuro en el aire a consecuencia de la falta de compromiso de la nueva administración estadounidense para reorganizar el “Comité de sobre la Privacidad y las Libertades Civiles” y nombrar una suerte de “Privacy Ombudsman” o Defensor de la Privacidad; ambos organismos teóricamente encargados de velar por el cumplimiento del Privacy Shield.
Asimismo, el Parlamento Europeo ha puesto en cuestión el citado mecanismo tanto por la “Orden Ejecutiva para Mejorar la Seguridad Pública” del Presidente Trump, como por la patente falta de seguridad y control en casos de fugas de datos como el de Facebook-Cambridge Analytica.
Anteriormente, el “Safe Harbour” (antiguo mecanismo para la transferencia internacional de datos entre UE y EEUU) ya había sido denunciado y finalmente tumbado por el Tribunal de Justicia de la UE, dado el incumplimiento del mismo por parte EEUU en el “Caso Snowden”.
Ahora el EU-US Privacy Shield o “Escudo de Privacidad” ha sido puesto nuevamente en duda por los europarlamentarios, quienes han pedido su suspensión a la Comisión Europea, la cual tiene que revisar su cumplimiento pasado el verano de 2018.
La situación de presión en Europa para la suspensión del acuerdo crece cada día desde que entidades destinatarias (o encargadas de tratamientos) de datos procedentes de Europa han venido vulnerando los estándares de privacidad necesarios, aún estando certificadas por el EU-US Privacy Shield (véase el caso de SCL Elections Limited, entidad filial de Cambridge Analytica, la cual estuvo presente el listado de entidades certificadas hasta mediados de junio)
Desde Europa se alega la falta de credibilidad de la certificación para presionar con su suspensión hasta que el gobierno de los Estados Unidos garantice el cumplimiento de los niveles de seguridad exigidos.
¿Cómo afecta a Europa la pérdida del EU-US Privacy Shield?
Una vez fijada la fecha límite para el cumplimiento se teme volver 3 años atrás, cuando no había ningún mecanismo regulador que funcionase de acuerdo a lo exigido para el Espacio Económico Europeo con respecto a la seguridad de sus datos. Implicaría que cada compañía norteamaricana con interés en transferir datos desde Europa tendría que construir una alternativa legal o directamente suspender las transferencias internacionales, lo que en la práctica es casi imposible.
Como pudimos ver en los 3 Talleres RGPD en los que participó DuoDigito, la solución a ese eventual problema no se antoja nada fácil, sobre todo para las entidades europeas que, por un lado, necesitan para desarrollar sus servicios transferir datos a Estados Unidos; mientras que por otro se ven obligadas a cumplir con las exigencias del Reglamento General de Protección de Datos.
A nivel económico y legal, según Alejandro Salgado, abogado experto en legalidad digital y protección de datos: “Aunque podría ser que la Comisión Europea concediese a EEUU más tiempo para el cumplimiento, lo cierto es que muchas entidades europeas se verían obligadas a buscar proveedores locales (lo que no es necesariamente malo). Si bien es cierto que se podría prescindir de algunos proveedores de servicios concretos, en la práctica se antoja complicado prescindir de los servicios que ofrecen los gigantes como Google o Facebook”; lo cual dejaría en una situación comprometida a las responsables de tratamiento europeos”
En este contexto, no queda otra que esperar a septiembre para saber si la inestabilidad respecto del Privacy Shield se alarga, las autoridades norteamericanas se avienen a cumplir con lo acordado, o si finalmente las empresas europeas nos veremos obligadas a encontrar proveedores alternativos establecidas en suelo del viejo mundo.
