Nº 28/2015. El TJUE declara inválida la decisión de la Comisión Europea que permitía las transferencias de datos personales a EE.UU

El Tribunal de Justicia de la Unión Europea ha dictado la Sentencia de fecha 6 de octubre de 2015, por la que declara inválida la Decisión de la Comisión 2000/520/CE, que habilitaba las transferencias de datos de carácter personal de los Estados miembros de la Unión Europea a EE.UU, amparadas en el acuerdo de Puerto Seguro (Safe Harbor). Ante la transcendencia de esta Sentencia, realizamos unos primeros comentarios sobre la misma que, seguro, merecerán de próximas reflexiones y consideraciones.

La Comisión, a través de la Decisión 2000/520/CE de 26 de julio de 2000, consideró que, en el marco del régimen denominado de “puerto seguro”, las entidades privadas situadas en los Estados Unidos garantizaban un nivel adecuado de protección de los datos personales transferidos, siempre y cuando aquéllas se hubieran adherido a los principios de Puerto Seguro y su compromiso de llevarlos a la práctica, adoptando para ello las medidas adecuadas.

El Tribunal de Justicia de la Unión Europea en la citada sentencia ha declarado inválida la Decisión 2000/520/CE. El Tribunal considera que la citada Decisión es aplicable únicamente a las entidades estadounidenses adheridas al régimen de Safe Harbor, pero no a las autoridades públicas estadounidenses que no están sometidas a dicho régimen. Como señala el Tribunal “las exigencias de seguridad nacional, interés público y cumplimiento de la ley de Estados Unidos prevalecen sobre el régimen de puerto seguro, de modo que las entidades estadounidenses están obligadas a dejar de aplicar, sin limitación, las reglas de protección previstas por ese régimen cuando entren en conflicto con las citadas exigencias.”

El fallo del Tribunal es claramente significativo y es importante que las autoridades de control europeas proporcionen una respuesta ágil, pero meditada y clara. La Agencia Española de Protección de Datos en una nota de prensa indica en su página web que “Las Autoridades europeas de protección de datos, que ya observaron deficiencias en el Puerto Seguro y las plasmaron en varias cartas y dictámenes, han planificado actuaciones para coordinarse en el análisis de las implicaciones de la sentencia y en las actuaciones nacionales que deban llevarse a cabo, garantizando una aplicación consistente de la misma en todos los países de la UE.”

Estaremos atentos a estas actuaciones que deban llevarse a cabo a partir de ahora. De todas maneras, es aconsejable que las empresas analicen aquellas transferencias de datos que realizan al amparo del régimen de puerto seguro para estar preparadas para, en caso de ser necesario, aplicar medidas alternativas para poder seguir tratando los datos personales.

Es importante tener en cuenta que el Puerto Seguro no es la única base sobre la cual se pueden hacer transferencias de datos personales a los EE.UU. En este sentido, la LOPD y la Directiva establecen alternativas para poder llevar a cabo este tipo de transferencias internacionales de datos personales.

Barcelona, 14 de octubre de 2015.

Ignasi Baranera
Abogado

Antonio Ig. Sánchez
Abogado