¿Es Privacy Shield el futuro de Europa?

¿Qué ocurrió con Safe Harbor?

El 6 de octubre de 2015, el Tribunal de Justicia de la Unión Europeo declaró Safe Harbor inválido, después de que Edward Snowden sacara a la luz información sobre las operaciones de vigilancia en masa llevadas a cabo por la NSA, la agencia de seguridad americana, y la falta de medidas para garantizar la protección de la información personal de los ciudadanos europeos.

En la Unión Europea, el intercambio de información sólo se autoriza si la ley de protección de datos del país de destino está al mismo nivel que la europea, algo que no ocurre en el caso de Estados Unidos. Safe Harbor llegó, en el año 2000, para facilitar ese intercambio de información entre empresas europeas y estadounidenses.

Tras las revelaciones de Snowden, el activista por la privacidad Max Schrems interpuso una demanda contra Facebook sobre su uso de estos datos personales. Sin embargo, la Agencia Irlandesa de Protección de Datos determinó que el uso que Facebook hacía de dicha información estaba amparado por Safe Harbor.

El caso fue llevado al Tribunal de Justicia de la Unión Europea, que acabó derogando el acuerdo por completo, al entender que no podía asegurarse que la información personal fuera tratada de acuerdo con la Ley Europea de Protección de Datos.

En tierra de nadie

Estados Unidos y la Unión Europea se dieron hasta el 31 de enero para negociar una alternativa que garantizara la seguridad de la información personal que circula por la red.

Durante este tiempo, el intercambio de información entre países europeos y Estados Unidos dejó de ser válido bajo el amparo de Safe Harbor y correspondía a cada agencia de protección de datos nacional decidir qué se hacía al respecto.

En el caso de España, la Agencia de Protección de Datos dió a las empresas hasta el día 29 de enero para asegurarse de que el almacenamiento y envío de información personal a servidores estadounidenses cumplía con la normativa europea. Lo que significaba esto, en esencia, era que las empresas debían buscar alternativas a aquellas compañías con servidores estadounidenses que sólo protegieran la información sobre la base de Safe Harbor.

A la espera de un nuevo acuerdo que pudiera arrojar algo claridad sobre la situación, los profesionales del marketing en España tuvieron que abrirse camino entre el caos y la desinformación, analizar la situación de los datos que almacenaban y, en muchos casos, y migrarlos a servidores europeos para evitar multas que podrían alcanzar los 600 000 euros.

Privacy Shield

El 31 de enero llegó y se fue sin que las partes llegaran a un acuerdo. En España, el 29 de enero se acabó el plazo para migrar la información a servidores europeos o pedir una autorización excepcional a la Agencia de Protección de Datos.

Sin embargo, el día 2 de febrero se anunció la llegada de Privacy Shield, el nuevo tratado de intercambio de información entre la Unión Europea y Estados Unidos. Sin embargo, el anuncio llegó rodeado de incertidumbres y conjeturas por la escasa y ambigua información al respecto.

El día 29 de febrero se conocieron los puntos básicos del acuerdo, que tendrá que ser aprobado por los países miembros y validado por los expertos en materia de protección de datos de la Unión. Siempre y cuando las compañías con servidores en Estados Unidos se ajusten a las medidas estipuladas en Privacy Shield, este nuevo acuerdo debería aportar algo de tranquilidad a empresas y profesionales.

Sin embargo, tanto el activista Max Schrems como otros partidarios de una mayor privacidad en la red siguen cuestionándose la legitimidad de este acuerdo, que seguirá permitiendo a Estados Unidos llevar a cabo operaciones de vigilancia en masa en una serie de supuestos; algo que, dicen, contradice a la normativa europea.

Entonces, ¿qué va a pasar?

Es dificil saberlo, pero lo cierto es que algunos expertos ya han advertido de que Privacy Shield no saldría airoso si es llevado ante el Tribunal de Justicia de la Unión Europea.

Para los profesionales del marketing esto supone más meses de incertidumbre, en los que debemos asegurarnos de que nuestros proveedores de servicios se acogen a los nuevos términos y condiciones de Privacy Shield o apostar por migrar la información personal a servidores europeos, como solución definitiva.

Aunque la Agencia Española de Protección de Datos no ha interpuesto por ahora ninguna multa a aquellos que no siguieron sus pautas, la realidad es que el futuro sigue en el aire. En cualquier caso, conviene mantener los ojos bien abiertos y estar pendientes de la evolución de la situación, para evitar que nuestra actividad pueda incurrir en prácticas ilegales.