El Abogado del TJUE avala la suspensión del envío de datos de usuarios de Facebook a EE UU

La transferencia de datos personales entre cualquier país de la UE y Estados Unidos, donde quedan almacenados, no es segura. Esto afecta, entre otras, a empresas como Facebook, que cuenta con más de 200 millones de usuarios en el Viejo Continente. Es más, cualquier autoridad nacional de control tiene capacidad para suspender el envío de esos datos, sin perjuicio de que Bruselas decidiera en 2000 que había suficientes garantías.

Así lo cree el abogado general del Tribunal de Justicia de la Unión Europea, que ha publicado sus conclusiones —no vinculantes— sobre el polémico caso Schrems; la sentencia definitiva del Alto Tribunal se conocerá en unas semanas, aunque generalmente suele tener en cuenta la posición del letrado.

El expediente se inició en Irlanda en 2013 —país en el que Facebook tiene su filial europea—, cuando el activista austríaco Maximilian Schrems puso una denuncia ante la autoridad irlandesa de protección de datos a raíz de las revelaciones del exconsultor en la CIA y la NSA Edward Snowden. Según Schrems, sus datos personales como usuario de Facebook —lo es desde 2008— no están protegidos una vez enviados y guardados en los servidores de Estados Unidos, habida cuenta de las prácticas de la NSA con el programa PRISM.

La denuncia, aunque desestimada en un primer momento por "carecer de fundamento jurídico", acabó con un recurso en la High Court irlandesa, que es ahora quien pregunta al Tribunal de Justicia de la Unión Europea si esto es así o no; es lo que se llama "decisión prejudicial". La High Court entendía que vigilar e interceptar datos personales sirve "a objetivos legítimos relacionados con la lucha contra el terrorismo", pero también hizo constar que la NSA y otros organismos cometieron "excesos considerables", dice el Abogado.

Este polémico caso lleva dando titulares durante mucho tiempo, como el que proporcionó al mundo el abogado de la Comisión Europea Bernhard Schima durante una audiencia este mismo año: "Deberías considerar cerrar tu cuenta de Facebook, si tienes una", admitió.

El Abogado General del TJUE, Yves Bot, ha hablado en términos bastante duros. Asegura que Estados Unidos recopila datos de forma "masiva e indiferenciada" de ciudadanos de la UE y que no existen autoridades independientes que controlen que agencias como la NSA vulneren la protección de datos al acceder a ellos. Este acceso, dice además, es una "injerencia" en el derecho al respeto de la vida privada y en el derecho a la protección de los datos personales.

En el año 2000 la Comisión Europea promulgó una directiva mediante la que declaraba que, a través del denominado "puerto seguro", Estados Unidos sí garantizaba la protección de los datos transferidos. Según el Abogado, la propia Comisión ha admitido que esto ya no es así —ya había empezado a revisar la directiva tras las reveleciones de Snowden, aunque el abogado le reprocha que no haya actuado hasta ahora—, por lo que considera que aquella decisión es "nula", que "no contiene suficientes garantías" y que debería haberse suspendido.

y debería haberse suspendido Es más, el letrado dice que, como consecuencia de la inacción de la Comisión Europea tras conocerse las disfunciones de su norma, se ha producido y se está produciendo una "violación continuada de los derechos fundamentales de las personas cuyos datos de carácter personal fueron y siguen siendo transferidos en el marco del régimen de puerto seguro". El "puerto seguro" incluye unos principios a los que las empresas estadounidenses pueden suscribirse voluntariamente.

En cualquier caso, dice el Abogado, la decisión del año 2000 no limita las competencias nacionales si hay denuncias. Los Estados, además, deben velar por que se cumpla la Carta de los Derechos Fundamentales de la UE, que incluye el derecho a la protección de los datos personales. El letrado califica a las autoridades de control nacionales como "guardianas de los derechos fundamentales" y dice que "deben poder abrir una investigación" si hay una denuncia y, si así lo consideran, suspender la transferencia de datos.

El Abogado recuerda que las leyes europeas —Directiva 95/46/CE del Parlamento Europeo y del Consejo— establecen que la transferencia a un país tercero de datos personales "que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia" solo puede producirse si ese país garantiza la suficiente protección. Es decir, que si esa protección no se da "debe prohibirse la transferencia".

La misma directiva dice que es la Comisión Europea quien determina si un país cumple o no con esa obligación de proteger los datos. De ahí la norma del año 2000 que permitía desde entonces ese envío desde países de la UE a empresas de Estados Unidos que se acogieran al régimen de "puerto seguro".

Este régimen implica, por ejemplo, que se informe al usuario sobre el tratamiento de sus datos personales; que se le pida en consentimiento para cederlos a terceros; que las empresas están obligadas a vigilar que se haga un uso correcto de los datos y que no se traspapelen o desaparezcan; que el usuario pueda rectificarlos; la posibilidad de los usuarios de recurrir si creen que estos principios no se están cumpliendo; etc.

El Abogado dice que, en este caso concreto, no es Facebook quien se salta los principios del "puerto seguro", sino que lo que está en cuestión son las excepciones —"imprecisas"— que se contemplan en la ley europea para que el Gobierno de Estados Unidos acceda a los datos. Aunque, sí señala que los usuarios de Facebook de la UE "no están informados de que las agencias de seguridad estadounidenses podrán acceder de manera general a sus datos personales". La vigilancia que se lleva a cabo en ese país es "desproporcionada por naturaleza" y afecta, dice, "a todas las personas que utilizan comunicaciones electrónicas".

El Abogado considera que las transferencias de datos personales "no deben ser objeto de una protección inferior a la que se aplica a los tratamientos de datos realizados dentro de la Unión" y, por tanto, esto debería incluir la existencia de un control externo ejercido por una "autoridad independiente". Además, apunta, la obligación de garantizar una protección suficiente en materia de datos debe ser "permanente".