- El 10 de julio la Comisión Europea declaró que Estados Unidos ofrece una protección adecuada a los datos enviados a las empresas adheridas al nuevo marco.
- Para esas empresas certificadas, la transferencia ya no exige cláusulas contractuales tipo ni otros mecanismos adicionales.
- La clave práctica es comprobar qué proveedores están realmente certificados y conservar un plan alternativo por si el marco se anula.
El 10 de julio de 2023 la Comisión Europea adoptó una decisión de adecuación sobre el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework). En términos sencillos, Bruselas reconoce que las empresas estadounidenses que se adhieran voluntariamente al marco tratan los datos personales de los europeos con un nivel de protección comparable al de la Unión. La decisión surte efecto desde su adopción y sustituye, en la práctica, al antiguo Escudo de Privacidad.
Importa porque casi cualquier empresa europea envía datos a Estados Unidos sin darse cuenta: el correo electrónico, el almacenamiento en la nube, el software de nóminas o de gestión de clientes, las herramientas de videoconferencia. Durante tres años esas transferencias se sostuvieron con cláusulas contractuales y evaluaciones complejas. Ahora existe una vía más sencilla, aunque ni universal ni definitiva.
Por qué hacía falta
El Escudo de Privacidad, que amparaba estas transferencias, fue anulado por el Tribunal de Justicia de la UE en julio de 2020 (sentencia «Schrems II»). El Tribunal consideró que la vigilancia de los servicios de inteligencia estadounidenses no estaba suficientemente limitada y que los ciudadanos europeos carecían de un recurso eficaz. Desde entonces, las empresas tuvieron que apoyarse en cláusulas contractuales tipo y en un análisis caso por caso del riesgo de cada transferencia.
El nuevo marco responde a esas críticas. Estados Unidos aprobó en octubre de 2022 una orden ejecutiva que limita el acceso de sus agencias de inteligencia a lo estrictamente necesario y proporcionado, y creó un Tribunal de Revisión de la Protección de Datos al que pueden acudir los europeos. La Comisión se apoya en esas garantías para concluir que el nivel de protección es equivalente.
Qué cambia en la práctica
Una empresa europea puede enviar datos personales a una compañía estadounidense certificada en el marco sin necesidad de cláusulas tipo ni de normas corporativas vinculantes. La certificación es voluntaria, la gestiona el Departamento de Comercio de EE. UU. y obliga a la empresa a respetar unos principios de privacidad bajo la supervisión de autoridades de ese país. La lista de empresas adheridas es pública y puede consultarse.
Para las empresas no certificadas, nada cambia: siguen necesitando cláusulas contractuales tipo u otro mecanismo previsto en el Reglamento General de Protección de Datos. Tampoco desaparecen otras obligaciones, como informar a las personas afectadas, mantener el registro de actividades de tratamiento o firmar un contrato con el proveedor que actúa como encargado del tratamiento. Un caso habitual es el de una pyme que utiliza el correo o el almacenamiento en la nube de un proveedor estadounidense: antes de apoyarse en la decisión, debe comprobar que ese proveedor figura en la lista de empresas certificadas y que su certificación cubre el tipo de datos que trata, por ejemplo los de recursos humanos.
Qué conviene revisar
Un primer paso razonable es identificar qué proveedores estadounidenses tratan datos personales y comprobar si figuran como certificados. Si lo están, puede actualizarse la documentación para apoyarse en la decisión de adecuación; si no, conviene mantener las cláusulas tipo vigentes. También es buen momento para repasar las políticas de privacidad, que deben informar con claridad de las transferencias a países fuera de la Unión.
Conviene actuar con prudencia. Es posible que el marco se impugne ante los tribunales, como ocurrió con sus antecesores, y la propia Comisión revisará periódicamente la decisión, con una primera evaluación al cabo de un año. Mantener las cláusulas tipo como respaldo, aunque no se usen, evita quedarse sin cobertura si el marco se cuestiona de nuevo. Para casos concretos, consulte con su asesor.
Cuando los datos cruzan el Atlántico, la tranquilidad llega con una certificación comprobada y un plan alternativo.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
