La Comisión Europea ha dado un paso significativo el 10 de julio de 2023 al aprobar la decisión de adecuación entre los Estados Unidos y la Unión Europea en relación con la protección de datos personales en el ámbito de la privacidad de datos. Esta medida sienta las bases para la libre circulación de datos entre la UE, que incluye a Noruega, Liechtenstein e Islandia, y las empresas estadounidenses, en conformidad con las normativas recientemente establecidas.

El origen de esta decisión se encuentra en la Orden Ejecutiva 14086 del Presidente de los Estados Unidos, emitida el 7 de octubre de 2022, que incorporó un nuevo esquema de privacidad de datos en la legislación estadounidense, mejorando las salvaguardias para las actividades de inteligencia de señales.

Esta es la tercera tentativa de regularizar el flujo de datos entre ambos territorios, tras la anulación de los convenios de transferencia de datos anteriores, conocidos como Safe Harbor y Privacy Shield, debido a que no cumplían con los requisitos esenciales del Derecho de la Unión Europea (casos Schrems I y Schrems II).

Es crucial comprender que esta decisión de adecuación se aplica tanto a empresas con sede en los Estados Unidos como a aquellas filiales de empresas estadounidenses que operan en la Unión Europea y que cumplan con los requisitos del sistema de protección y se adhieran a los «Principios del Acuerdo de Privacidad de Datos UE-EE. UU.». Esto significa que las filiales de compañías estadounidenses en la UE también deben cumplir con los principios de privacidad para participar en las transferencias de datos desde la UE a los Estados Unidos.

Además, la Comisión Europea llevará a cabo revisiones periódicas para asegurar la plena aplicación y funcionamiento efectivo del Acuerdo de Privacidad de Datos UE-EE. UU.

Puedes consultar el “Data Privacy Framework List” en el que se encuentra el listado de empresas que se adhieren a los principios. Se pueden filtrar las empresas alfabéticamente o introducir el nombre de la empresa en el buscador de la página.

A continuación, se destacan algunos de los «Principios del Acuerdo de Privacidad de Datos UE-EE. UU.» (EU-US Data Privacy Framework Principles):

Esta decisión representa un avance significativo en la regulación de la privacidad de datos transatlántica y tiene un impacto directo en las empresas y organizaciones que operan en ambos territorios. Tomemos como ejemplo una empresa de tecnología de redes sociales con sede en los Estados Unidos, la cual atiende a millones de usuarios en la Unión Europea. Esta empresa, en su funcionamiento regular, recopila y almacena una amplia cantidad de datos personales, incluyendo perfiles de usuarios, publicaciones y mensajes.

Para poder ofrecer sus servicios de redes sociales, la empresa necesita trasladar datos personales de sus usuarios europeos hacia sus servidores en los Estados Unidos. Antes de la existencia de la decisión de adecuación, este proceso podría haber presentado desafíos legales considerables, debido a las notables discrepancias entre las regulaciones de privacidad en la Unión Europea y los Estados Unidos.

Antes de que existiera esta decisión de adecuación, la empresa tenía que usar Cláusulas Contractuales Estándar (CCE), que son contratos estándar que establecen salvaguardias específicas para la protección de datos en las transferencias internacionales. Además, debían tomar medidas complementarias para garantizar la protección de los datos transferidos, especialmente en lo que respecta a la vigilancia gubernamental en los Estados Unidos.

Después del “Data Privacy Framework”, asumiendo que la empresa está incluida en la “Data Privacy Framework List”, es decir, se adhiere a los principios, la empresa no tendrá que recurrir a las herramientas de transferencia del GDPR, como las CCE, ni llevar a cabo medidas complementarias.