Privacy Shield

Afegim un nou capítol en la particular relació entre Europa i els Estats Units d’Amèrica en la protecció de les dades personals. Recordem que l’any 2015, el Tribunal de Justícia de la Unió Europea (TJUE) va invalidar l’antic marc de transferències internacionals de dades entre UE-EEUU, anomenat Safe Harbor (Port Segur), a l’entendre que no oferia suficient protecció. Durant l’impàs que va durar un any, l’única alternativa per realitzar transferències internacionals era l’ús de les denominades “Clàusules Contractuals Tipus” de la Comissió Europea (SCC) fins que al 2016 s’aprovés un nou marc de transferències internacionals de dades entre UE-EEUU, anomenat Privacy Shield (Escut de privacitat). El Privacy Shield esmenava els anteriors problemes en la seguretat de les dades i tornava a facilitar les transferències internacionals de manera senzilla entre els operadors d’UE i EEUU.

Ara, el Tribunal de Justícia de la Unió Europea torna a invalidar la Decisió de l’Escut de Privacitat (Privacy Shield), en la Sentencia del Tribunal de Justícia de la Unió Europea de 16 de juliol de 2020, en el cas C-311/18. La decisió del TJUE dona resposta a la petició de decisió prejudicial plantejada per la High Court Irlandesa, en la que es plantejava la qüestió de validar les Clàusules Contractuals Tipus (SCC) i l’Escut de Privacitat (Privacy Shield), atès que s’argumentava que l’accés per part de les autoritats públiques dels EEUU a les dades transferides no respectaven els drets fonamentals, i era contrari a les exigències del RGPD. En concret, el TJUE assenyala que:

• De l’examen de la Decisió de la Comissió 2010/87, de 5 de febrer de 2010, relativa a les clàusules contractuals tipus per a la transferència de dades personals als encarregats del tractament establerts en tercers països, determina la inexistència de cap element que pugui afectar la validesa. Ara bé, afegeix que s’haurà d’analitzar per part del responsable del tractament cas per cas, i serà valida sempre que incloguin mecanismes efectius que permetin garantir a la pràctica que el nivell de protecció exigit en el RGPD es respecta.

• De l’anàlisi realitzat al principal mecanisme per a les transferències de dades entre UE-EEUU, l’Escut de Privacitat (Privacy Shield), el TJUE determina que no és efectiu i no assegura la privacitat dels ciutadans europeus.

Per una banda, la limitació a la protecció de dades que deriva de la normativa interna d’EEUU, relativa als accessos i l’ús per part de les autoritats d’EEUU són considerats contraris al principi de proporcionalitat, assentat en el RGPD. Degut a què els programes de vigilància no es limiten al tractament de les dades estrictament necessàries.

I per altra banda, el TJUE considera que el Privacy Shield no garanteix la tutela judicial efectiva. En la Sentència declara que el mecanisme del Defensor del Poble, contemplat en la Decisió de l’Escut de Privacitat, no proporciona als interessats una via de recurs davant d’un òrgan que ofereixi garanties substancialment equivalents a les exigides en el Dret de la Unió, que assegurin la independència del Defensor del Poble i que el facultin a adoptar decisions vinculants respecte als serveis d’intel·ligència americans.