Las organizaciones europeas y las instituciones que interactúan habitualmente con los países de la UE se han visto obligadas estos últimos años a adaptarse al nuevo Reglamento General de Protección de Datos o GDPR. Esto ha significado, en muchos casos, tener que transformar sus procesos de protección de datos y privacidad para evitar fuertes sanciones. No ha habido otra alternativa, ya que las transferencias transfronterizas de datos son indispensables en el día a día de las actividades comerciales de entidades y multinacionales, tanto europeas como externas. El problema es que toda esta complejidad se ha intensificado ahora tras la sentencia del denominado caso “Schrems II” y, por ello, quiero tratar de explicar en este artículo qué está ocurriendo, por qué debe importarnos y qué medidas podemos tomar.
La realidad es que Schrems II ha anulado la validez del escudo de privacidad entre la UE y EE.UU. y esto debe preocupar a cualquier empresa que transfiera datos al mercado norteamericano. Ignorar este hecho supondrá incumplir las obligaciones fundamentales del GDPR y conllevará cuantiosas multas. Así que, si el Escudo de Privacidad parece haber muerto, ¿qué deben hacer las empresas que quieran enviar datos a los Estados Unidos?
Lo primero será atenerse a una normativa de privacidad más estricta, realizar una evaluación de riesgos y aplicar las medidas complementarias adecuadas. El Tribunal de Justicia de la Comunidad Europea ya ha subrayado que las Cláusulas Contractuales Tipo (CCT o Cláusulas Modelo), no deben utilizarse como una solución rápida, en plan «marcar la casilla», y que los riesgos tienen que ser analizados por los propios usuarios, lo que en la práctica supone dejar abierta una importante “zona gris”.
Por otro lado, aunque no podemos descartar que en el futuro se desarrollen nuevas versiones del Escudo de Privacidad (Privacy Shield) o el Puerto Seguro (Safe Harbor), es imposible saberlo con total seguridad porque el contexto es cada vez más complejo, con un Reino Unido post-Brexit y nuevos requisitos de privacidad impuestos por países como Suecia, que hacen que el uso de proveedores cloud estadounidenses sea incompatible con las leyes locales. Además, por si toda esta complejidad no fuera poca, actualmente no hay un periodo de gracia efectivo para cumplir con la normativa.
Como comenta IDC, «las organizaciones que confiaban en el Escudo de la Privacidad como único mecanismo para permitir las transferencias transfronterizas de datos tendrán que apoyarse ahora en las cláusulas contractuales estándar de la UE (SCC) o en cualquier otro método disponible para asegurar esas transferencias o paralizarlas inmediatamente. Con una situación económica ya delicada, las empresas no pueden permitirse el lujo de exponerse a más riesgos.»
