El Tribunal de Justicia de la UE invalidó el 16 de julio el acuerdo que amparaba el envío de datos personales a EE. UU. y mantuvo las cláusulas contractuales tipo.
El 16 de julio de 2020 la Gran Sala del Tribunal de Justicia de la Unión Europea dictó la sentencia conocida como Schrems II (asunto C-311/18). Declaró inválida la decisión de la Comisión en la que se apoyaba el Privacy Shield, el acuerdo entre la UE y EE. UU. con el que miles de empresas enviaban datos personales al otro lado del Atlántico, y confirmó la validez de las cláusulas contractuales tipo, aunque con condiciones.
El motivo de fondo fue que los ciudadanos europeos no disponen en Estados Unidos de recursos judiciales equivalentes a los de los nacionales frente al acceso a sus datos por parte de las autoridades. Para una empresa española que usa servicios en la nube, correo, herramientas de marketing o programas de nóminas de proveedores estadounidenses, no es una cuestión técnica: afecta a sus contratos y al cumplimiento del reglamento europeo de protección de datos. La sentencia no prohíbe usar esos proveedores, pero obliga a justificar con más rigor por qué y bajo qué garantías se hace.
Qué cambia con la sentencia
Hasta ese día muchas compañías se amparaban en que su proveedor estaba adherido al Privacy Shield. Desde la sentencia, esa adhesión deja de servir como base legal para transferir datos. Las empresas que se apoyaban solo en ella tienen que buscar otra vía, y la más habitual son las cláusulas contractuales tipo aprobadas por la Comisión.
El tribunal advirtió de que esas cláusulas no son un trámite automático: quien exporta los datos debe comprobar, caso por caso, si el país de destino garantiza un nivel de protección equivalente al europeo y, si no es así, adoptar medidas adicionales o suspender la transferencia. Las autoridades de protección de datos, por su parte, deben suspender o prohibir las transferencias que no cumplan esas exigencias. Para las pymes, que rara vez pueden negociar con grandes proveedores tecnológicos, el contrato estándar del proveedor y su documentación sobre medidas de seguridad pasan a ser un elemento clave.
Un mapa de los datos
El primer paso práctico es saber qué datos salen de la empresa, hacia qué proveedores y con qué base legal. Muchas organizaciones descubren que usan más servicios estadounidenses de lo que creían: almacenamiento, videoconferencia, gestión de clientes, analítica web o copias de seguridad. Conviene hacer una lista, indicar qué categorías de datos se transfieren y localizar el contrato de cada proveedor.
Con ese inventario se puede decidir proveedor a proveedor: mantener la relación con cláusulas tipo y medidas complementarias, como el cifrado con claves que controle la propia empresa, o buscar alternativas con servidores en la Unión. No hay una solución universal, y las autoridades europeas irán concretando cómo aplicar la sentencia en la práctica. Mientras llegan esas orientaciones, lo prudente es dejar constancia por escrito del análisis realizado y de las razones por las que se mantiene o se cambia cada servicio.
Qué conviene revisar
Además del mapa de datos, conviene revisar los contratos con encargados del tratamiento, el registro de actividades y la información que se da a clientes y empleados sobre transferencias internacionales. Si la empresa tiene delegado de protección de datos, debe participar desde el principio; si no lo tiene, un asesor especializado puede ordenar el trabajo.
Para empresas familiares y despachos profesionales, el riesgo no es solo una sanción: también lo es perder la confianza de clientes que entregan información financiera o patrimonial. Documentar las decisiones adoptadas, aunque sean provisionales, demuestra diligencia ante una eventual inspección. Se trata de información general: cada caso exige su propio análisis.
Saber adónde viajan los datos es hoy parte de la gestión ordinaria de cualquier empresa.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
