- El 10 de juliol la Comissió Europea va declarar que els Estats Units ofereixen una protecció adequada a les dades enviades a les empreses adherides al nou marc.
- Per a aquestes empreses certificades, la transferència ja no exigeix clàusules contractuals tipus ni altres mecanismes addicionals.
- La clau pràctica és comprovar quins proveïdors estan realment certificats i conservar un pla alternatiu per si el marc s’anul·la.
El 10 de juliol del 2023 la Comissió Europea va adoptar una decisió d’adequació sobre el Marc de Privacitat de Dades UE-EUA (Data Privacy Framework). En termes senzills, Brussel·les reconeix que les empreses nord-americanes que s’hi adhereixin voluntàriament tracten les dades personals dels europeus amb un nivell de protecció comparable al de la Unió. La decisió té efecte des que es va adoptar i substitueix, a la pràctica, l’antic Escut de Privacitat.
Importa perquè gairebé qualsevol empresa europea envia dades als Estats Units sense adonar-se’n: el correu electrònic, l’emmagatzematge al núvol, el programari de nòmines o de gestió de clients, les eines de videoconferència. Durant tres anys aquestes transferències es van sostenir amb clàusules contractuals i avaluacions complexes. Ara hi ha una via més senzilla, tot i que ni universal ni definitiva.
Per què calia
L’Escut de Privacitat, que emparava aquestes transferències, va ser anul·lat pel Tribunal de Justícia de la UE el juliol del 2020 (sentència «Schrems II»). El Tribunal va considerar que la vigilància dels serveis d’intel·ligència nord-americans no estava prou limitada i que els ciutadans europeus no disposaven d’un recurs eficaç. Des d’aleshores, les empreses han hagut de recolzar-se en clàusules contractuals tipus i en una anàlisi cas per cas del risc de cada transferència.
El nou marc respon a aquestes crítiques. Els Estats Units van aprovar l’octubre del 2022 una ordre executiva que limita l’accés de les seves agències d’intel·ligència al que és estrictament necessari i proporcionat, i van crear un Tribunal de Revisió de la Protecció de Dades al qual poden acudir els europeus. La Comissió s’hi basa per concloure que el nivell de protecció és equivalent.
Què canvia a la pràctica
Una empresa europea pot enviar dades personals a una companyia nord-americana certificada en el marc sense necessitat de clàusules tipus ni de normes corporatives vinculants. La certificació és voluntària, la gestiona el Departament de Comerç dels EUA i obliga l’empresa a respectar uns principis de privacitat sota la supervisió d’autoritats d’aquell país. La llista d’empreses adherides és pública i es pot consultar.
Per a les empreses no certificades, no canvia res: continuen necessitant clàusules contractuals tipus o un altre mecanisme previst al Reglament general de protecció de dades. Tampoc no desapareixen altres obligacions, com informar les persones afectades, mantenir el registre d’activitats de tractament o signar un contracte amb el proveïdor que actua com a encarregat del tractament. Un cas habitual és el d’una pime que utilitza el correu o l’emmagatzematge al núvol d’un proveïdor nord-americà: abans de recolzar-se en la decisió, ha de comprovar que aquest proveïdor consta a la llista d’empreses certificades i que la seva certificació cobreix el tipus de dades que tracta, per exemple les de recursos humans.
Què convé revisar
Un primer pas raonable és identificar quins proveïdors nord-americans tracten dades personals i comprovar si hi consten com a certificats. Si ho són, es pot actualitzar la documentació per recolzar-se en la decisió d’adequació; si no, convé mantenir les clàusules tipus vigents. També és un bon moment per repassar les polítiques de privacitat, que han d’informar amb claredat de les transferències a països de fora de la Unió.
Convé actuar amb prudència. És possible que el marc s’impugni davant dels tribunals, com va passar amb els seus antecessors, i la mateixa Comissió revisarà periòdicament la decisió, amb una primera avaluació al cap d’un any. Mantenir les clàusules tipus com a suport, encara que no s’utilitzin, evita quedar-se sense cobertura si el marc es qüestiona de nou. Per a casos concrets, consulteu amb el vostre assessor.
Quan les dades creuen l’Atlàntic, la tranquil·litat arriba amb una certificació comprovada i un pla alternatiu.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
