El escudo de privacidad (Privacy Shield) fue diseñado por EE.UU., la Unión Europea y Suiza. Su objetivo era proporcionar a las empresas a ambos lados del Atlántico un mecanismo de cumplimiento con los requisitos de protección de datos personales cuando son transferidos desde Europa y Suiza a Estados Unidos.
El Escudo de Privacidad invalidado
Sin embargo, el 16 de julio de 2020, el Tribunal de Justicia de la Unión Europea (TJUE) emitió una sentencia declarando como ‘inválida’ la Decisión de la Comisión Europea (UE) 2016/1250 del 12 de julio de 2016 sobre la adecuación de la protección proporcionada por el Escudo de Privacidad UE-EE.UU. (Ver comunicado de prensa).
Qué ocurre ahora
Las empresas no podrán seguir transfiriendo los datos personales de usuarios a servidores de EE.UU. ya que a partir del 16 de julio serán ilegales y contrarias al RGPD.
Sin embargo, esto no supondrá una paralización de las empresas que se habían suscrito al escudo de privacidad. Los expertos consideran que existen alternativas a esta sentencia. Una de ellas serían las cláusulas contractuales tipo, que a través de un contrato permitirían seguir realizando las transferencias internacionales con garantías por parte del receptor de dichos datos. Siempre y cuando el gobierno americano no realice una intromisión, en cuyo caso el contrato sería declarado nulo.
Supuestos válidos
Se consideran validos los siguientes supuestos para transferencias de datos desde España:
- Empresas acogidas al RGPD y que cumplan unos determinados requisitos indicados en la web de la AEPD.
- Empresas ya acogidas a cláusulas contractuales SCC (Standard Contractual Clauses) validadas por la Unión Europea, si bien, actualmente se encuentran en proceso de revisión, por lo que conviene aplicar la cautela en estos casos.
- Situaciones específicas donde se ha solicitado el consentimiento del usuario y la relación contractual está basada en el mismo.
Situación actual
Actualmente, la Unión Europea debe pronunciarse lo más pronto posible acerca del camino a seguir para aquellas empresas afectadas. Mientras tanto, las empresas afectadas, tendrán que buscar soluciones legales alternativas, como algunas de las comentadas que les permitan seguir ejerciendo el tratamiento de los datos personales de sus usuarios dentro del marco normativo europeo.
