Safe Harbour, inseguro Puerto Seguro

Safe Harbour, en inglés, significa "Puerto Seguro", un convenio que ha permitido que las empresas estadounidenses presten servicios y traten o almacenen datos personales de ciudadanos europeos. La decisión surge por la denuncia de un conocido activista austríaco en pro de los derechos humanos, Max Schrems, ante la autoridad irlandesa de protección de datos, como usuario de Facebook desde 2008.

Safe Harbour, en inglés, significa "Puerto Seguro", un convenio que ha permitido que las empresas estadounidenses presten servicios y traten o almacenen datos personales de ciudadanos europeos.

Los principios internacionales "safe harbor" estában pensados para prevenir pérdidas o filtraciones no autorizadas de información  para organizaciones que operan entre Estados Unidos y la Unión Europea y que alojen datos personales de sus clientes y/o usuarios. Inscribirse en un listado y comprometerse a cumplir con los siete principios que recoge la Directiva 95/46/CE era lo único que tenía que hacer una empresa estadounidesense que quería ostentar el calificativo de safe harbor y así estar cubierta por este acuerdo.

Estos siete principios clave, desarrollados por el Departamento de Comercio de Estados Unidos en colaboración con la Unión Europea, son:

1. Información: los interesados deberán ser informados de que sus datos personales están siendo recogidos y que serán tratados únicamente con la finalidad para la que fueron recogidos.
2. Elección: los interesados tendrán el derecho de cancelación y oposición a que sus datos sean recogidos una vez sean recabados y a oponerse a la cesión o transferencia a terceros.
3. Transferencia progresiva: la cesión de datos a terceros se llevará a cabo con organizaciones que también garanticen un adecuado nivel de cumplimiento de protección de datos.
4. Seguridad: se deben establecer y cumplir determinadas medidas de seguridad para prevenir pérdidas de información y accesos no autorizados.
5. Integridad de los datos: los datos deberán ser relevantes y exactos para el propósito para el que fueron recogidos.
6. Acceso: los interesados podrán acceder en todo momento a la información que haya sido recabada acerca de ellos y podrán corregirla o eliminarla si es inexacta o inadecuada.
7. Ejecución: se deben destinar medios y recursos para garantizar el debido cumplimiento de estos principios.

Con  un simple proceso de autoevaluación todos nuestros datos: los datos de navegacion, nuestro número de teléfono, nuestra edad, nuestra altura, nuestro peso, datos de salud, donde hemos estado - y hasta cualquier cosa que te puedas imaginar- es el tipo de transferencias de datos que se hacían y se siguen haciendo, desde Europa a Estados Unidos.

Sin embargo este mismo mes  los acuerdos de "safe harbor" entre la Comunidad Europea y los Estados Unidos fueron declarados inválidos, como consecuencia de las revelaciones de Edward Snowden. Concretamente el 6 de octubre de 2015, el Tribunal de Justicia de la Unión Europea a determinado que EEUU no garantiza un nivel de protección adecuado de los datos personales transferidos, tal y como aseguraban los principios internacionales safe harbor en materia de privacidad relativa a la protección de datos personales, por lo que queda invalidado.

La decisión surge por la denuncia de un ciudadano austríaco Max Schrems ante la autoridad irlandesa de protección de datos, como usuario de Facebook desde 2008. Este conocido activista en pro de los derechos humanos denunció que habia determinados factores que de alguna manera indicaban que las actividades de vigilancia de las autoridades públicas estadounidenses, especialmente la National Security Agency, no garantizaban una protección suficiente de los datos transferidos a ese país, como habia revelado ya Edward Snowden en 2013.

A pesar de que la autoridad irlandesa desestimó la denuncia de Max, sosteniendo que, el 26 de julio de 2000, la comisión había considerado que Estados Unidos, en el marco del régimen denominado de “puerto seguro” (safe harbor), garantizaba un nivel adecuado de protección de los datos personales transferidos, el Tribunal de Justicia que, tras examinar la validez de la decisión de la comisión de julio de 2000, recuerda que ésta comisión estaba obligada a comprobar si Estados Unidos garantizaba efectivamente, en razón de su legislación interna o de sus compromisos internacionales, un nivel de protección de los derechos fundamentales sustancialmente equivalente al garantizado en la Unión Europea en virtud de la directiva, interpretada a la luz de la Carta, concluyendo que la Comisión no llevó a cabo ese examen, sino que se limitaba a analizar el régimen de "puerto seguro" (safe harbor).

Destaca, además, que ese régimen únicamente es aplicable a las empresas  estadounidenses, de modo que las autoridades públicas norteamericanas están exentas de cumplirlas y debido a que las exigencias de seguridad nacional, interés público y cumplimiento de la ley de Estados Unidos, prevalecen sobre el régimen de puerto seguro, las empresas de ese país están obligadas a revelar estos datos a dichas autoridades públicas.

De ello se deduce, continua diciendo, que el régimen estadounidense de "puerto seguro" posibilita de ese modo injerencias por parte de las autoridades públicas en los derechos fundamentales de las personas, y la decisión de la comisión no pone de manifiesto que en Estados Unidos haya reglas destinadas a limitar esas posibles injerencias ni que exista una protección jurídica eficaz contra éstas. 

Por todo ello el Tribunal de Justicia de la Unión Europea declara inválida la decisión cuestionada por las autoridades irlandesas y dispone que la propia autoridad irlandesa de control examine el reclamo de Maximine Schrems y decida si, en virtud de la directiva, debe suspenderse la transferencia de los datos de los usuarios europeos de Facebook a Estados Unidos porque ese país no ofrece un nivel de protección adecuado de los datos personales.

La guerra está servida, publicaba un prestigioso periódico de tirada nacional. Si el 7 de diciembre de 1941 EEUU sufrió el ataque japonés a Pearl Harbor, el pasado 6 de octubre el Tribunal de Justicia de la Unión Europea -como si de un nueva Armada Imperial Japonesa se tratara- asestó un duro golpe a las empresas norteamericanas receptoras de datos de carácter personal trasferidos desde los países de la Unión Europea y adheridas a los principios de safe harbor (puerto seguro).

Lo peor de todo es que esta "declaración de guerra" europea genera un estado de inseguridad en todas aquellas empresas de la Unión Europea que están realizando transferencias de datos personales a empresas adheridas a los principios safe harbor ya que, hoy por hoy, aún no saben cuál va a ser la regulación y los requisitos adicionales que se les van a exigir para continuar manteniendo relaciones con tales empresas, teniendo en cuenta que la Ley Orgánica de Protección de Datos impone sanciones de 300.001 a 600.000 en caso de que se realicen transferencias internacionales a países que no proporcionen un nivel de protección adecuado, sin la previa autorización del Director de la AEPD.

Esta inseguridad comunica una gran desconfianza y todas esas empresas deben estar esperando como agua de mayo que alguien le respondan a estas preguntas :

- ¿Se va a exigir el procedimiento ordinario de solicitud de autorización de trasferencias internacionales cuando se destinen a cualquier empresa de EEUU, esté o no adherida a los principios safe harbor?,
- ¿Se van a realizar labores de inspección a todas las transferencias internacionales realizadas a empresas safe harbor?,
- ¿Se va a exigir que todos aquellos que hayan transferido datos a estas empresas regularicen su situación iniciando un procedimiento ordinario de solicitud de autorización?,
- ¿Se va a regular un nuevo procedimiento especial?,
- ¿Cuál va a ser, en su caso, el plazo establecido para realizar la regularización?,
- ¿A partir de ahora, qué tienen que hacer las empresas de la UE que vayan a transferir datos personales a empresas norteamericanas safe harbor hasta que los órganos de control europeos fijen las líneas comunes de actuación?.
- Y ¿qué pasa cuando utilizo mis datos personales para abrir cuentas en redes sociales o adquirir servicios de alojamiento para mi empresa?

Son muchas las empresas españolas que se acogen a los acuerdos de "puerto seguro" (safe harbor) que ahora han quedado invalidados. Con estos acuerdos se firmaba que tratarían los datos personales que transferían desde sus filiales europeas respetando la Directiva Europea de Protección de Datos. Pero Max Schrems sospechó que algunas grandes empresas no lo hacían y denunció. Gracias Max, con gente como tu un mundo mejor y más justo es todavía posible.

Si deseas descargarte el acuerdo de Puerto Seguro que se firmó con los Estados Unidos de América, pincha aqui encima

Y si quieres respuestas a estas u otras preguntas sobre LOPD escribe@emite.net o llámame al 644 004 133

Carlos Bosquet Herreros