LAS DECISIONES DE ADECUACIÓN EN LAS TRANSFERENCIAS INTERNACIONALES DE DATOS. EL CASO DEL FLUJO DE DATOS ENTRE LA UNIÓN EUROPEA Y ESTADOS UNIDOS

1. Especial mención al convenio 108 como instrumento internacional precursor y su relevancia en la protección de datos[Subir]

Como se adelantaba previamente, en la actualidad el Convenio 108 del Consejo de Europa es el único instrumento internacional jurídicamente vinculante en el ámbito de la protección de datos, cuya firma se abrió en primera instancia en 1981 de manera previa a la era de internet. En virtud de este convenio, las partes deben adoptar las medidas necesarias en su derecho nacional, para que puedan aplicarse sus principios, con el objetivo de garantizar en su territorio el respecto de los derechos humanos fundamentales en el ámbito de la aplicación de la protección de datos. El convenio justifica su razón de ser en la necesidad de evitar un control excesivo que interfiera con el libre flujo internacional de información^‍‍[14]. Y dedicó inicialmente su art. 12 al flujo transfronterizo de datos; concretamente, en su párrafo segundo se establecía la norma general de prohibición de que las partes del convenio pudieran restringir las transferencias internacionales de datos.

No obstante, el párrafo tercero preveía la facultad de establecer una excepción a esta norma mediante dos supuestos. El primero, en la medida en que su legislación previese una reglamentación específica para determinadas categorías de datos de carácter personal o de ficheros automatizados de datos de carácter personal, por razón de la naturaleza de dichos datos o ficheros, a menos que la reglamentación de la otra parte estableciese una protección equivalente, es decir, tenía que haber en ambos Estados garantías equivalentes con relación a protección de datos. Mientras que, la segunda excepción, implicaba que se podría restringir el flujo de datos cuando la transmisión se llevase a cabo desde su territorio hacia el territorio de un Estado no contratante por intermedio del territorio de otra parte, con el fin de evitar que dichas transmisiones tengan como resultado burlar la legislación de la parte.

En 2001, el Consejo de Europa adoptó un protocolo adicional cuyo art. 2, bajo la rúbrica de «Transferencia de datos personales a destinatarios no sometidos a la competencia de las Partes del Convenio», preveía esta posibilidad, únicamente si dicho Estado u organización aseguraba un adecuado nivel de protección. Si bien, el párrafo segundo permitió autorizar la transferencia de datos personales sin la necesidad de un nivel adecuado de protección cuando el derecho interno así lo estableciese a causa de intereses concretos del afectado, o intereses legítimos (especialmente de carácter público); o bien, si se preveían las suficientes garantías, que pudiesen resultar de cláusulas contractuales por parte del responsable del tratamiento responsable de la transferencia y dichas garantías se considerasen adecuadas por las autoridades competentes de conformidad con el derecho interno.

Así hasta llegar al 2018, año en el que se adoptó un protocolo modificativo que lo actualizó, dando lugar al Convenio 108+, con el objetivo de proporcionar respuestas a los nuevos retos tecnológicos. Respecto a las transferencias internacionales de datos contempla que cuando un país destinatario no se encuentre sujeto a la jurisdicción de una parte se requiere que se garantice un nivel adecuado de protección de datos. Se establecen dos medios principales para garantizar que el nivel de protección sea el adecuado, o bien por ley, o a través de salvaguardas estandarizadas o aprobadas que resulten legalmente vinculantes y ejecutables. Es decir, las cláusulas contractuales tipo o las reglas corporativas vinculantes. Actualmente hay 55 Estados parte en este convenio, incluida la UE, pero no EE.UU., que tiene la condición de observador.

2. Las decisiones de adecuación desde la directiva 95/46 hasta el RGPD. El problema en torno al nivel adecuado de protección de datos[Subir]

Entrando ya en los propios actos legislativos de la UE en esta materia, y que han venido estableciendo un marco más claro sobre la protección de datos y los mecanismos para las transferencias internacionales, resulta primordial dedicarle las primeras líneas a la derogada Directiva 95/46, cuyo objetivo principal fue la armonización legislativa, así como ampliar y concretar el ámbito de protección de datos que había sido marcado por el Convenio 108. Con ella, se buscó que todos los Estados miembros implementasen un estándar de protección de datos a nivel europeo, constituyendo un ejemplo de progreso en la uniformización jurídica (De Miguel Asensio, P. A. (2004). La protección de datos personales a la luz de la reciente jurisprudencia del TJCE. Revista de la Facultad de Derecho de la Universidad de Granada, 7, 397-417.‍De Miguel Asensio, 2004: 400). Concretamente, su art. 25 determinó una serie de principios en la cesión de datos a terceros países, establecidos fuera de la UE, que implicaban fundamentalmente que esta debía ser acorde al derecho nacional y que el país que recibiese esos datos debía tener un nivel de garantía adecuado, introduciendo este término por primera vez en el ámbito de la UE.

Ahora bien, en caso contrario la transferencia de datos en principio no podría llevarse a cabo, sistema que generó de cierta forma un «cortafuegos» para los datos personales de los ciudadanos de la UE, mientras que su apartado segundo estableció la decisión de adecuación o modelo de adecuación como mecanismo principal para la realización de transferencias. Esta decisión consiste en realizar una evaluación específica del país al que se va a realizar la transferencia internacional de datos. Junto al anterior, el art. 26, a su vez, proporcionaba una serie de casos excepcionales en los que se podría llevar a cabo la transferencia. Si bien, debe tenerse en cuenta que estos modelos de adecuación no son los únicos, pues existen otros mecanismos alternativos relativos a las garantías adoptadas por los responsables del tratamiento, como las cláusulas contractuales modelo, las normas corporativas vinculantes o excepciones específicas como el consentimiento del interesado, entre otros. Comparado con estos otros instrumentos, el sistema de la decisión de adecuación presenta una ventaja clara, y es que se trata de un acto jurídico vinculante que tiene eficacia directa en los Estados miembros, que permite la transferencia integral a los países que han recibido el nivel de adecuación, pero como inconveniente principal cabe resaltar que se requiere un proceso largo hasta el reconocimiento (Recio Gayo, M. (2019). Nivel adecuado para transferencias internacionales de datos. Revista de Derecho Pontificia Universidad Católica del Perú, 83, 207-240. Disponible en: https://doi.org/10.18800/derechopucp.201902.007‍Recio Gayo, 2019). En consecuencia, las decisiones de adecuación de la Comisión Europea suponen el estándar más alto al requerir que el sistema legal del tercer país sea sustancialmente equivalente (Kuner, C. (2017). Reality and Illusion in EU Data Transfer Regulation Post Schrems. German Law Journal, 18 (4), 881-918. Disponible en: https://doi.org/10.1017/S2071832200022197‍Kuner, 2017) y el medio más eficaz debido al «aval» que está aportando la valoración de la Comisión Europea.

Sin embargo, como puede apreciarse, el término de nivel adecuado incluido en la Directiva 95/46 no llegó a definirse, solamente el considerando 56 aludía a que el nivel adecuado debía apreciarse teniendo en cuenta todas las circunstancias relacionadas con la transferencia o la categoría de transferencias. Se señaló que la «adecuación» constituía un importante punto de partida para las decisiones de la Comisión sobre adecuación; sin embargo, estos criterios no se formularon con precisión ni se aplicaron siempre de manera rígida (Bygrave, L. A. (2014). Data Privacy Law: An international Perspective. Oxford: Oxford University Press. Disponible en: https://doi.org/10.1093/acprof:oso/9780199675555.001.0001‍Bygrave, 2014: 30). Esta falta de definición generó una problemática en torno a si el término «adecuado», que debía corresponderse a un nivel de protección idéntico al otorgado por el ordenamiento jurídico de la UE en materia de protección de datos personales. Ante esta situación, en 1998, el Grupo de Trabajo del Artículo 29 (en adelante GT29)^‍‍[15] elaboró una serie de criterios para una mejor aplicación del concepto de nivel adecuado^‍‍[16]. En dicho documento se contemplaba la necesidad de considerar no solo el contenido de las normas aplicables a los datos personales transferidos a un tercer país, sino también el sistema empleado para asegurar la eficacia de las normas. Para ello, se tendría en cuenta un conjunto de principios básicos contemplados en el Convenio 108 y en la Directiva 95/46, como por ejemplo el principio de proporcionalidad y el de transparencia. Además, se requería distinguir los objetivos del sistema normativo de protección de datos, como el establecimiento de recursos ante posibles perjudicados o la asistencia en el ejercicio de derechos.

No obstante, no fue hasta 2015 cuando el TJUE en la sentencia del caso Schrems I, con la que se invalidó el Safe Harbor, determinó lo que implicaba el nivel adecuado de protección. Así, para establecer dicho nivel se debía comprobar cuán parecida era la regulación de ese tercer país con la europea. Se determinó que la expresión de nivel de protección adecuado debía entenderse en el sentido de una exigencia de que ese tercer país garantice efectivamente, por su legislación interna o sus compromisos internacionales, un nivel de protección de las libertades y derechos fundamentales sustancialmente equivalente al garantizado en la UE por la Directiva 95/46^‍‍[17]. Es decir, que se requiere a los terceros países un nivel sustancialmente equivalente, pero no igual al que proporciona la legislación, si no uno menos fuerte, un nivel más próximo a la realidad. Su finalidad no es otra que permitir asegurar la continuidad del elevado estándar de protección de datos previsto en la UE.^‍‍[18]

Posteriormente, en 2018, el RGPD tampoco incluyó una definición normativa sobre el nivel de adecuación. Sin embargo, y a diferencia de la Directiva 95/46, este reglamento sí que indica expresamente cuáles son aquellos factores que deben tenerse en cuenta para evaluar si un tercer país tiene un nivel adecuado o no. Su art. 45 establece que podrán realizarse transferencias de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, los sectores o la organización internacional traten de garantizar un nivel de protección adecuado mediante una decisión de adecuación. Incluyendo alternativas para aquellos casos en los que no exista dicha decisión, las garantías adecuadas, estas pueden ser aportadas por diferentes mecanismos, si bien el RGPD ha ampliado el abanico de instrumentos en los que se puede incluir y aportar dichas garantías adecuadas, incorporándose los códigos de conducta y los mecanismos de certificación, así como el reconocimiento de las normas corporativas vinculantes para los grupos multinacionales, aunque en la práctica se encontraban operativas (Ortega Giménez, A. (2019). El impacto del Reglamento General de Protección de Datos de la Unión Europea y de la LOPDGDD en el régimen jurídico de las transferencias internacionales de datos de carácter personal. En R. García Mahamut y B. Tomás Mallén (eds.). El Reglamento General de Protección de Datos. Un enfoque nacional y comparado. Especial referencia a la LO 3/2018 de Protección de datos y garantía de los derechos digitales (pp. 393-417). Valencia: Tirant lo Blanch.‍Ortega Giménez, 2019: 416), además de los citados previamente. La diferencia clave entre el régimen del RGPD y el de la Directiva 95/46 es que la única autoridad que va a poder declarar la idoneidad del país de destino de la transferencia por tener un nivel adecuado es la Comisión, sin que pueda recaer en los Estados miembros.

La evaluación de la Comisión Europea se elaborará sobre los elementos que enumera el art. 45.2, lo que le permitirá valorar adecuadamente la legislación, no declarar que la legislación del tercer Estado es igual que la contenida en el RGPD. Además, los medios a los que puede recurrir dicho Estado pueden diferir de los implantados en la UE. No obstante, la adopción de una decisión de adecuación conllevará a posteriori un deber de supervisión por parte de la Comisión Europea de manera continuada sobre los acontecimientos de esos terceros países, sectores u organizaciones internacionales.

Por su parte, el considerando 104 contempla el marco general en el que se debe fundamentar dicha evaluación, concretamente en «los valores fundamentales en los que se basa la Unión, en particular la protección de los derechos humanos». En dicho marco, la Comisión tendrá en cuenta necesariamente numerosas circunstancias que, en resumen, tienen que garantizar un modelo de tutela efectiva de la protección de datos. Según la categorización de Piñar Mañas (Piñar Mañas, J. L. (2016). Transferencias de datos personales a terceros países u organizaciones internacionales. En M. Álvarez Caro, M. Recio Gayo y J. L. Piñar Mañas (eds). Reglamento general de protección de datos: hacia un nuevo modelo europeo de privacidad (pp. 431-464). Madrid: Reus.‍2016: 442), los elementos de evaluación se dividen en tres grupos:

Estos elementos de evaluación contenidos en el marco del considerando 104 y en el art. 45.2 mantienen cierto componente genérico, por lo que el Comité Europeo de Protección de Datos (CEPD)^‍‍[19] ha mantenido las directrices actualizadas del GT29 dadas por el anterior documento de 1998^‍‍[20], con el objetivo de ofrecer una orientación detallada en la obtención de la adecuación en torno a la evaluación del nivel de protección de los datos en terceros países. En particular, expone los principios básicos sobre protección de datos que deben estar presentes en el marco jurídico de un tercer país con la finalidad de garantizar una equivalencia esencial con el marco de la UE. Entre los principios se encontrarían la existencia de conceptos básicos sobre protección de datos, no tienen que ser iguales a los del RGPD, pero sí presentar ciertas similitudes, la existencia de bases legales que permitan el procesamiento de los datos de forma legal, justa y legítima, entre otros.

Desde la entrada en vigor de la Directiva 95/46 y hasta la actualidad con el RGPD, los terceros países que han obtenido una decisión de nivel adecuado son Andorra (19/10/2010), Argentina (3/6/2003), Canadá (20/12/2001), EE.UU. (la última el 12/7/2016 invalidada), Guernsey (21/11/2003), Isla de Man (28/4/2004), Islas Feroe (5/3/2010), Israel (31/1/2011), Jersey (8/5/2008), Nueva Zelanda (19/12/2012), Suiza (26/7/2000), Uruguay (21/8/2012) y Japón (23/1/2019).

En el caso de Canadá^‍‍[21] y EE.UU.^‍‍[22], las decisiones de adecuación han sido «parciales», evidenciando la flexibilidad de configuración que pueden adoptar las decisiones de adecuación. Canadá garantiza una protección adecuada para las transferencias a los destinatarios a través de su ley^‍‍[23]. Sin embargo, las diferencias filosóficas y culturales subyacentes en las regulaciones de privacidad entre EE.UU. y la UE siempre han generado dudas sobre si realmente el primero cumplía con el nivel de adecuación (Carr, G. (2017). Privacy Shield or privacy mask? An análisis of European Data Protection Law in response to the Case of Maximillian Schrems v. Data Protection Commissioner and the implementation of the general data protection regulation. Student Comparative European Law Review, 1, 20-40.‍Carr, 2017: 20), pues el sistema normativo europeo refleja el concepto de intimidad como un derecho humano fundamental protegido por los diferentes gobiernos. Mientras, EE.UU. no cuenta con un marco único de protección y privacidad de datos, llegando a describirse como un collage de diferentes estatutos federales y estatales debido a la ausencia de reglas concretas y únicas que rijan las transferencias internacionales de datos (Grant, J. (2005). International data protection regulation Data transfer and Safe Harbor. Computer Law and Security Report, 21, 267-261. Disponible en: https://doi.org/10.1016/j.clsr.2005.04.010‍Grant, 2005). El planteamiento que presentan es eminentemente sectorial, en el que se mezcla legislación, reglamentación y autorregulación, es un sistema descentralizado. No obstante, se han ido promulgando normas a nivel federal que afectan a la protección de datos personales como, por ejemplo, Children’s Online Privacy Protection act (COPPA por sus siglas)^‍‍[24], que regulaba el método a través del cual las empresas o entidades pueden recabar datos de menores de trece años. O en 2001: tras los atentados terroristas del 11 de septiembre se promulgó la USA Patriot Act^‍‍[25], que se trataba de una ley federal que tenía como objetivo principal la ampliación de capacidad de control del Estado otorgando a las distintas agencias de seguridad estadounidenses mayor poder de vigilancia en la lucha contra el terrorismo.

Esto, unido a las revelaciones efectuadas en 2013 de que la National Security Agency norteamericana había estado llevando a cabo una vigilancia electrónica masiva generalizada, provocaron un extenso debate mundial sobre la privacidad (Cole, D. y Fabbrini, F. (2016). Bridging the transatlantic divide? The United States, the European Union and the protection of privacy across borders. International Journal of Constitutional Law, 14 (1), 220-237. Disponible en: https://doi.org/10.1093/icon/mow012‍Cole y Fabbrini, 2016), y que la UE condenase que la protección de los datos de carácter personal que ofrecía EE.UU. era manifiestamente insuficiente (Maqueo Ramírez, M. S., Moreno González, J. y Recio Gayo, M. (2017). Protección de datos personales, privacidad y vida privada: la inquietante búsqueda de un equilibrio global necesario. Revista de Derecho, 30, 77-96. Disponible en: https://doi.org/10.4067/S0718-09502017000100004‍Maqueo Ramírez et al., 2017: 78-‍85), situación que culminó en su día con la invalidación del Safe Harbor.

Estas inseguridades se han agravado durante los últimos años tras la aparición de leyes como la Cloud Act^‍‍[26], que permite el acceso de las autoridades norteamericanas a datos almacenados en servidores de empresas norteamericanas situados en el extranjero, al amparo de una orden judicial, todo ello por razones de seguridad nacional y sin tener que cumplir con ninguna normativa de privacidad ni tampoco de protección de datos europea^‍‍[27], demostrando una clara incompatibilidad con la regulación europea y generando tensiones en la práctica internacional (Cordero Álvarez, C. I. (2019). La transferencia internacional de datos con terceros Estados en el nuevo Reglamento europeo: Especial referencia al caso estadounidense y la Cloud Act. Revista Española de Derecho Europeo, 70, 49-108.‍Cordero Álvarez, 2019: 80-‍100). Este convulso panorama ha terminado también con la invalidación del Privacy Shield en 2020, como analizaremos en las siguientes secciones.

1. Los hechos que dieron lugar a la sentencia[Subir]

El caso de Maximillian Schrems no terminó tras la sentencia del 2015, pues las actuaciones procesales se retrotrajeron al momento de su reclamación ante el Comisionado de Protección de Datos de Irlanda, cuya investigación puso de manifiesto que una gran parte de los datos personales que se encontraban alojados en Facebook Ireland se transfería a la sede en EE.UU. mediante cláusulas contractuales tipo (en adelante CCT) de protección de datos recogidas en el anexo de la Decisión de la Comisión 2010/87/UE (en adelante Decisión CPT)^‍‍[32], pero contenidas en uno de los anexos de la decisión de ejecución del Escudo de Privacidad.

Ante esta situación, el señor Schrems modificó su reclamación alegando que el derecho norteamericano obligaba a Facebook Inc. a poner los datos personales que se le transfiriesen a disposición de las autoridades como la Agencia de Seguridad Nacional o la Federal Bureau of Investigation (FBI), y que podrían ser usados en el marco de diferentes programas de vigilancia de forma incompatible con los arts. 7, 8 y 47 de la CDFUE. Tras esta investigación, el Comisario publicó la investigación en mayo de 2016 con la que estimó que las CCT recogidas en la Decisión CPT no subsanaban las deficiencias de protección de aquellos datos transferidos a EE.UU.

Ante esta situación se inició un procedimiento ante la High Court en Irlanda, que planteó la petición de decisión prejudicial, incluyendo además una sentencia nacional que analizaba las actividades de inteligencia de las autoridades estadounidenses en lo referente a los datos personales transferidos desde la UE, lo que llevó a plantear una serie de cuestiones prejudiciales. De entre ellas, el TJUE determinó resolver la interpretación del art. 3, apdo. 2, primer guion, de la Directiva 95/46 en relación con el art. 4 TFUE, apdo. 2, y los arts. 7, 8 y 47 de la CDFUE; la interpretación y la validez de la Decisión CPT; y finalmente, la interpretación y validez del Privacy Shield.

2. Los fundamentos de la declaración de invalidez del escudo de privacidad y la continuidad de las cláusulas tipo de protección de datos[Subir]

El TJUE ha apreciado, como ocurrió en 2015, que la constatación realizada por la Comisión en el Privacy Shield de que EE.UU. garantiza de forma efectiva un nivel sustancialmente equivalente con el ordenamiento jurídico de la UE para las transferencias de datos no se corresponde con la realidad. Fundamentalmente, y en una relación claramente directa con los requisitos para el nivel adecuado de protección previamente analizados, los derechos fundamentales afectados son los contemplados en los arts. 7, 8 y 47 de la CDFUE. Y es que el TJUE ha podido examinar las limitaciones de los principios debido a las exigencias de seguridad nacional, interés público y cumplimiento de la normativa. Constatando que la decisión admite con carácter general este tipo de injerencias por parte de las autoridades estadounidenses, concretando que dichas intrusiones pueden producirse como consecuencia del acceso a los datos personales transferidos desde la UE a EE.UU. y de la utilización de esos datos por las autoridades públicas estadounidenses, en el marco de los programas de vigilancia norteamericanos^‍‍[33], conforme a los arts. 702 de la Foreign Intelligence Surveillance Act (en adelante FISA) y en la Executive Order 12333 (en adelante E.O. 12333)^‍‍[34]. A este respecto, el TJUE considera que la normativa de EE.UU. no prevé las limitaciones y garantías necesarias en atención a dichas injerencias, ni tampoco garantiza la tutela judicial efectiva frente a ellas^‍‍[35]. A esto último debe sumarse que el Tribunal considera que la figura creada por el Escudo de Privacidad, el Defensor del Pueblo, no puede subsanar su carencia ya que no es un verdadero tribunal^‍‍[36].

Resulta jurisprudencia asentada que la comunicación de datos de carácter personal a un tercero, como puede ser una autoridad pública, constituye una injerencia en los derechos fundamentales de los arts. 7 y 8 de la CDFUE, con independencia del uso posterior de la información^‍‍[37]. Sin embargo, esta interpretación del TJUE no olvida que estos derechos no son absolutos y que pueden verse limitados, entrando en juego el principio de proporcionalidad. Es decir, que las limitaciones podrán introducirse cuando sean necesarias y respondan efectivamente a los objetivos de interés general reconocidos por la UE o a la necesidad de protección de los derechos y libertades de los demás, debiendo estar establecida por ley. El requisito de proporcionalidad requiere que la normativa que conlleve la injerencia establezca reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas, incluyendo de esta forma garantías suficientes para los interesados. Por lo tanto, el TJUE, tras el examen de los programas de vigilancia citados anteriormente, determina que no pueden garantizar un nivel de protección sustancialmente equivalente, por lo que las autoridades públicas pueden acceder y utilizar los datos sin encontrarse sujetos al principio de proporcionalidad. Tanto el asunto Schrems I como el II vienen a continuar con la tarea de someter las actividades de los servicios de inteligencia dirigidas a combatir el terrorismo mediante la aplicación de los criterios de proporcionalidad (Lucas Murillo de la Cueva, P. (2020). Entrevista: El perpetuum mobile del derecho a la protección de datos: no solo mantenerlo, sino reforzarlo. La Ley Privacidad, 6, 1-16.‍Lucas Murillo de la Cueva, 2020: 6).

Respecto a esta última cuestión, estaba pendiente otro caso, Privacy International^‍‍[38], con el que el TJUE ha determinado que la transmisión generalizada e indiferenciada de datos por parte de los proveedores de servicios de comunicaciones electrónicas para su comunicación a las agencias de seguridad e inteligencia excede los límites de lo necesario y resulta contrario a la CDFUE. Una decisión en la misma línea es el de La Quadrature du Net^‍‍[39], cuya sentencia fue publicada en octubre de 2020, y en la que el TJUE incide en que para cumplir el requisito de proporcionalidad, las limitaciones al ejercicio de los derechos fundamentales deben contar con una base legal que defina su alcance, sin sobrepasar los límites de lo estrictamente necesario y estableciéndose los requisitos materiales y procedimentales que regulen la utilización. El TJUE reconoció que hay determinadas situaciones en las que un Estado miembro se puede enfrentar a una seria amenaza frente a la seguridad nacional, y cuando esta sea real y actual o previsible, cumpliéndose en este caso el requisito de proporcionalidad^‍‍[40]. Estas sentencias refuerzan los límites y controles de la capacidad de vigilancia de las autoridades públicas, pudiendo eventualmente tener un efecto relevante en el futuro de las decisiones de adecuación frente a terceros Estados, ya que la evaluación que deberá hacer la Comisión conforme al RGPD se verá condicionada al tener que examinar los ulteriores tratamientos a los que puedan verse sometidos los datos transferidos por las autoridades de dicho Estado ante fines de seguridad pública (De Miguel Asensio, P. A. (2020). Implicaciones de la declaración de invalidez del Escudo de privacidad. La Ley Unión Europea, 84, 1-5.‍De Miguel Asensio, 2020: 3).

En cuanto a la cuestión de la tutela judicial efectiva recogida en el art. 47 de la CDFUE, el TJUE reconoce que la existencia de un control jurisdiccional efectivo para garantizar el cumplimiento de las disposiciones del derecho de la UE resulta inherente al Estado de derecho. Por ello, como ya anunciaba en el caso Schrems I, una normativa que no prevé la posibilidad de que el interesado pueda ejercer acciones en derecho en lo referente a sus datos personales está incumpliendo con el derecho a la tutela judicial efectiva.

Esta interpretación se plantea al hilo de determinar si la existencia del mecanismo del Defensor del Pueblo, establecido por las autoridades estadounidenses, podría suplir los problemas relativos al planteamiento de acciones administrativas o judiciales para la defensa de los interesados. A lo que el TJUE contesta negativamente ya que, por una parte, al formar el Defensor del Pueblo parte del Departamento de Estado, se pone en entredicho la independencia de este con respecto al poder ejecutivo y, por otra parte, esta figura no está dotada de facultades para adoptar decisiones vinculantes respecto a los servicios de inteligencia (ante posibles infracciones) ni tampoco garantías que puedan ser invocadas por los interesados. Surge nuevamente el mismo planteamiento de 2015, se requiere que existan mecanismos que sean eficaces para la detección y control de posibles violaciones del derecho a la protección de datos en EE.UU.; sin embargo, no se traducen en la realidad.

El análisis del TJUE sobre las garantías adecuadas proporcionadas por las CCT ha sido el otro argumento trascendental del caso. En este sentido, Ruíz Tarrías (Ruiz Tarrías, S. (2020). La sentencia del Tribunal de Justicia de la Unión Europea en el asunto Schrems II o cómo los datos personales pueden terminar viajando sin equipaje. Revista Española de Derecho Europeo, 76, 11-162. Disponible en: https://doi.org/10.37417/REDE/num76_2020_532‍2020: 145) señala que pueden diferenciarse dos aspectos esenciales: por una parte, el reconocimiento de diferentes facultades a las autoridades de control independientes con el objetivo de valorar el nivel de protección adecuado ofrecido por el tercer país, en atención al instrumento de licitud en el que se basa la transferencia internacional de datos personales. El TJUE considera, por lo tanto, como en Schrems I, que aunque haya una decisión de adecuación la autoridad nacional de control puede tramitar reclamaciones de los particulares para proteger sus derechos frente al tratamiento de datos y en caso de que la transferencia no cumpla con las exigencias del RGPD, interponer un recurso ante los tribunales nacionales^‍‍[41]. Mientras que cuando las transferencias tengan su fundamento en otro mecanismo, como las CCT, las autoridades nacionales de control tienen reconocida la facultad de prohibir o suspenderla cuando verifiquen que se están llevando a cabo infringiendo la normativa europea o la legislación nacional en protección de datos^‍‍[42].

Y, por otra parte, la aserción de que no existen diferencias entre las decisiones de adecuación y las CCT respecto a la exigencia de cumplimiento de garantías adecuadas en atención a los elementos contemplados en el art. 45.2 RGPD, aun cuando el TJUE formule sobre ello argumentos contradictorios que terminen por diferencias en este aspecto a estos dos mecanismos.

Estas consideraciones son las que llevan al TJUE a declarar inválida la decisión del Escudo de Privacidad, confirmando que el Privacy Shield no había tenido en cuenta las críticas y recomendaciones llevadas a cabo a lo largo del tiempo. Esta sentencia ha venido a finalizar un debate que llevaba abiertos años sobre una de las decisiones de adecuación más mediáticas, considerando que la primacía de las exigencias sobre la seguridad nacional, el interés público y el cumplimiento de la ley estadounidenses posibilitaban injerencias en los derechos fundamentales de los ciudadanos europeos. Y al mismo tiempo, no proporcionaba a los posibles afectados vías de recurso ante un órgano con garantías suficientes.

Por otro lado, ha desaparecido la posibilidad de que aquellos que transfiriesen datos personales desde la UE a una organización adherida al acuerdo en los EE.UU. puedan recurrir a este mecanismo como base legal, para proporcionar garantías suficientes. Es decir, que para poder seguir llevando a cabo transferencias de datos personales tendrán que aplicar las CCT u otra de las garantías recogidas en el RGPD.

Este planteamiento del TJUE afecta de lleno a la relación de la UE con el Reino Unido, en el marco del Brexit tras su salida definitiva en enero de 2021, ya que al convertirse en un Estado tercero requiere que se adopte alguno de los mecanismos del RGPD para la transferencia internacional de datos. Esto implica que, pasados los seis primeros meses de 2021, deberá existir una decisión de adecuación de la Comisión Europea o el establecimiento de alguno de los mecanismos de garantías adecuadas, como las CCT. No obstante, no podrá producirse dicha decisión si Reino Unido no proporciona un nivel adecuado de protección, como bien ha remarcado el TJUE. Cuestión que podría llegar a suceder, ya que en octubre de 2019 Reino Unido firmó con EE.UU. el primer acuerdo ejecutivo de la Cloud Act: Data Access Agreement, en virtud del cual en caso de delitos graves pueden exigir datos personales a compañías tecnológicas con sede en el otro país sin ningún tipo de barrera.

Las transferencias de datos personales entre la UE y EE.UU. llevan siendo un problema desde hace más de veinte años y seguirán siendo un problema mientras EE.UU. no adopte una normativa de privacidad que conlleve un estatus de adecuación o, como han apuntado otros autores, se establezca un marco de carácter internacional con estándares sobre la privacidad y la protección de datos (Martínez Martínez, R. (2020). Schrems II. Una breve reflexión desde los derechos fundamentales. La Ley Privacidad, 5. Disponible en: https://bit.ly/3biGY3Z‍Martínez Martínez, 2020: 2). Casos como los de Facebook y Cambridge Analytica^‍‍[43], en el que se produjo una violación a escala mundial de los datos personales de los usuarios, no han hecho más que aumentar la inseguridad jurídica y las tensiones entre ambas potencias. Sin embargo, la UE ha desempeñado durante los últimos años un papel trascendental en la configuración de cómo ve el mundo la privacidad de los datos. Esta mentalidad ha ido adentrándose en el ámbito tecnológico y jugando un papel esencial en ese cambio, sobre todo tras la entrada en vigor del RGPD. Este cambio cultural está comenzando a apreciarse en la mentalidad empresarial de EE.UU., como el ejemplo comentado anteriormente en el Estado de California. A pesar de que la privacidad resulte cultural en muchos aspectos, lo que complica reflejar un estándar de privacidad de una región a otra, los diversos problemas y revelaciones acontecidos a lo largo de los años parecen estar modificándolo (Sobrino García, I. (2020). La invalidez del Privacy Shield y la supervivencia de las cláusulas contractuales tipo. LA LEY Unión Europea, 84, 1-10.‍Sobrino García, 2020: 8). Por ello, no resulta imposible que con el paso del tiempo el sistema jurídico norteamericano a nivel federal tienda a una estructura más compatible con establecida por la UE., si bien las diferencias en las perspectivas europea y estadounidense respecto a los límites en la lucha antiterrorista complican el panorama de las transferencias internacionales de datos.