Los eurodiputados preocupados por el proyecto de acuerdo de transferencia de datos entre la UE y EE. UU.

Aún no existe un nuevo y brillante acuerdo sobre transferencias de datos entre la Unión Europea y los Estados Unidos destinado a resolver la costosa incertidumbre legal sobre las exportaciones de datos personales, pero el Comité de Libertades Civiles del Parlamento Europeo predice el próximo marco de privacidad de datos (DPF) de la UE y los EE. UU. no sobrevivirá a un desafío legal, al igual que sus dos predecesores, Safe Harbor (RIP: octubre de 2015); y Privacy Shield (RIP: julio de 2020), no logró impresionar a los jueces de la UE.

En una resolución adoptada ayer por la comisión LIBE, con 37 votos a favor, 0 votos en contra y 21 abstenciones, los eurodiputados calificaron el DPF como una mejora que no llega lo suficientemente lejos. También predijeron que probablemente sería anulado por el Tribunal de Justicia de la UE (TJUE) en el futuro.

El desarrollo sigue un proyecto de dictamen de LIBEen febrero, también rechazó la propuesta e instó a la Comisión a impulsar reformas significativas.

En la resolución, el comité considera que el arreglo propuesto no ofrece suficientes garantías a los ciudadanos de la UE ya que el marco aún permite la recolección masiva de datos personales en ciertos casos; no somete la recopilación masiva de datos a una autorización previa independiente; y no proporciona reglas claras sobre la retención de datos.

A los eurodiputados también les preocupa que un mecanismo de reparación propuesto, el llamado ‘Tribunal de Revisión de Protección de Datos’, pueda violar los derechos de los ciudadanos de la UE a acceder y rectificar los datos relacionados con ellos, ya que las decisiones serían secretas vinculantes. También cuestionan su independencia ya que los jueces podrían ser destituidos por el presidente estadounidense, quien también podría anular sus decisiones.

“En la resolución, los eurodiputados argumentan que el marco para las transferencias de datos debe ser escalable y que la evaluación de la adecuación debe basarse en la implementación práctica de las reglas”, según un parlamento. comunicado de prensaquien dijo que el comité luego instó a la Comisión a no conceder la adecuación sobre la base del régimen actual y a negociar en su lugar un marco de transferencia de datos que probablemente sea confirmado en los tribunales.

Comentando en declaración Tras la votación, el ponente de la comisión LIBE, Juan Fernando López Aguilar, dijo:

El nuevo marco es definitivamente una mejora con respecto a la mecánica anterior. Sin embargo, todavía no estamos allí. No estamos convencidos de que este nuevo marco proteja suficientemente los datos personales de nuestros ciudadanos y, por tanto, dudamos de que sobreviva a la prueba del TJUE. La Comisión debe seguir trabajando para abordar las preocupaciones planteadas por el Consejo Europeo de Protección de Datos [EDPB] y el Comité de Libertades Civiles se va para reabrir negociaciones con Estados Unidos.

El pasado mes de febrero, el SEPD adoptó su opinion sobre el marco, presentando el acuerdo como una mejora del Escudo de privacidad también. Pero el influyente organismo directivo también planteó una serie de inquietudes que recomendó abordar y buscar aclaraciones para «garantizar que la decisión de adecuación perdure».

La votación del Comité LIBE es parte del proceso de escrutinio general de la UE. Aunque es importante señalar que los parlamentarios no tienen voz sobre si se adopta o no el DPF, ni tampoco el EDPB. La última palabra sobre las decisiones de adecuación recae únicamente en la Comisión.

Al mismo tiempo, obviamente es molesto si surgen dudas dentro de la UE sobre la robustez y durabilidad del marco de reemplazo planeado.

El Parlamento Europeo en su conjunto también podrá expresarse, a través de una futura sesión plenaria que examinará la resolución de la comisión LIBE. Por lo tanto, será interesante ver en qué dirección se rompen los parlamentarios.

Le DPF est la dernière offre de haut niveau du bloc pour résoudre le conflit frontal entre les droits à la vie privée de l’UE et les pouvoirs de surveillance américains en insérant une autre décision dite d’adéquation pour faciliter les flux de données UE- Estados Unidos. El marco propuesto se basa en intentos anteriores (obsoletos) al establecer un nuevo conjunto de disposiciones destinadas a enmascarar diferencias importantes, como la demanda de «salvaguardias vinculantes» para limitar el acceso de las agencias de inteligencia de EE. UU. a los datos, incluida la introducción de los conceptos de necesidad y proporcionalidad; y una promesa de vigilancia mejorada de vigilancia espía.

Como se mencionó anteriormente, también se creará un nuevo Tribunal de Revisión de Protección de Datos, que se supone que es un mecanismo de reparación independiente capaz de resolver las quejas de los ciudadanos de la UE según los estándares requeridos por los jueces europeos. Pero lo que los críticos dicen que no es un tribunal adecuado, en el sentido legal completo, por lo tanto, no pasará con el TJUE.

Una cosa está clara: está tardando mucho más en llegar a un acuerdo esta vez ahora que se ha agotado el suministro de emplastos adhesivos simples.

La Comisión llegó a un acuerdo de principio sobre el DPF hace poco más de un año. Luego, el presidente de EE. UU., Joe Biden, tardó unos seis meses en firmar una orden ejecutiva necesaria para implementar el reemplazo. Mientras que la UE tardó casi nueve meses después del anuncio del acuerdo en presentar un borrador de acuerdo (alrededor de dos meses después de la EO). En este punto, se inició un proceso de revisión y revisión del proyecto por parte de otras instituciones de la UE, que aún está en curso.

(En cambio, el Escudo de privacidad UE-EE. UU. pasó de ser anunciado en febrero de 2016 a adoptarse formalmente en julio y entrar en vigor a principios de agosto del mismo año. Luego, el TJUE tardó poco más de cuatro años en retirarlo, por lo que ciertamente hay lecciones que aprender sobre los legisladores que actúan apresuradamente y se arrepienten aquí).

En abril del año pasado, la Comisión sugirió que todo el proceso de reemplazo del Escudo de privacidad podría «finalizarse» a fines de 2022. Y si finalizar significa adoptar, ciertamente fue demasiado optimista ya que es la primavera de 2023 y el proceso continúa.

Algunos informes sugieren que el DPF no se adoptará hasta el verano (Reuters cita a funcionarios anónimos que sugieren que podría estar listo para julio).

Cuando se le preguntó sobre la fecha prevista de adopción, un portavoz de la Comisión le dijo a TechCrunch que no podía proporcionar un cronograma específico porque el proceso involucra a múltiples partes interesadas.

También aclaró que estaba analizando la opinión de la Junta Europea de Protección de Datos «cuidadosamente» y tratando de responder a sus comentarios y solicitudes de aclaración antes de pasar a la siguiente fase del proceso de adopción, que implicará buscar la aprobación de un comité de Representantes de los estados miembros de la UE.

La Comisión claramente querrá evitar el huevo en la cara de un tercer golpe, que es probablemente la razón por la cual el paso está demorando más de lo esperado. Y por qué tiene cuidado de evitar ser acusado de ignorar las preocupaciones de la EDPB y otros.

Feeds de metadatos UE-EE. UU. en marco

Si bien las complejidades de la comitología de la UE pueden parecer un tema extremadamente seco, hay una consecuencia muy tangible asociada a la adopción del DPF. De hecho, el gigante tecnológico Meta, propietario de Facebook e Instagram, enfrenta una orden de suspensión de datos que podría obligarlo a detener sus exportaciones de datos de usuarios de la UE. Y dado que Facebook no está federado, podría verse obligado a cerrar el servicio a los usuarios de la UE para cumplir con la orden.

El organismo de control de datos de Irlanda emitió una orden preliminar con este fin en el otoño de 2020. Después de lo cual, a Meta se le concedió una suspensión y también solicitó una revisión judicial, por lo que logró retrasar el proceso durante algún tiempo. Pero se quedó sin camino en ese desafío legal en particular en mayo de 2021. Y más tarde se publicó un proyecto de decisión revisado en febrero de 2022.

El desafío inicial a las fuentes de datos UE-EE. UU. de Meta depende del mismo problema básico entre la vigilancia de EE. UU. y la privacidad de la UE, pero la queja en realidad se remonta al año de las revelaciones de Snowden. Así que ha habido alrededor de una década de desánimo regulatorio sobre este tema y todavía no hay una decisión final.

Sin embargo, un final está, en teoría, finalmente a la vista.

ayer el EDPB confirmó que había tomado una decisión vinculante sobre el asunto, lo que significa que la principal DPA europea de Meta, la Comisión Irlandesa de Protección de Datos (DPC), debe tomar una decisión final dentro de un mes. Así que a mediados de mayo.

El verano pasado, el gigante de las redes sociales evitó por poco un escenario de cierre anterior cuando las autoridades de protección de datos de la UE no estuvieron de acuerdo con el proyecto de decisión del DPC, iniciando un proceso de resolución de disputas integrado en el Reglamento General de Protección de Datos (GDPR) que finalmente condujo al EDPS. tener que intervenir y tomar una decisión vinculante.

Todavía no sabemos qué dice la decisión, pero dado que la orden preliminar era de suspensión, parece poco probable que la Junta llegue a un resultado radicalmente diferente. Y Alors que ce processus tortueux d’application du RGPD touche à sa fin, la question est maintenant de savoir ce qui arrivera en premier : un ordre à Meta de fermer ses flux de données UE-États-Unis – ou l’adoption du DPF UE -Estados Unidos ?

Este último escenario, por supuesto, proporcionaría una nueva vía de escape que Meta usaría para evitar una orden de suspensión.

Mientras que, si el DPF llega antes del pedido final de DPC, es el mismo escenario: la empresa aprovechará el marco de alto nivel para actualizar su afirmación de cumplir plenamente con las normas de la UE y retrasar la caja en el camino (probablemente por muchos más). años).

Pero incluso si primero llega una orden que ordene a Meta suspender sus fuentes de datos, la compañía seguramente pedirá a todos sus abogados locales que encuentren nuevas formas de retrasar el cuchillo. Una apelación de cualquier orden regulatoria para detener la exportación de datos de usuarios de la UE es segura. También puede intentar suspender la ejecución en espera del resultado de su apelación. Aunque no es seguro que los tribunales lo permitan.

También hay otra posibilidad. La decisión final del DPC podría darle a Meta una fecha límite para detener las fuentes de datos, digamos dos o tres meses, lo que podría darle el tiempo suficiente para que pase el DPF, lo que le permitiría reiniciar su base legal utilizando el nuevo marco y nuevamente evitar la amenaza. de un paro.

El mes pasado, la comisionada de DPC, Helen Dixon, admitió Reuters la línea de tiempo era «llegar al cable».

Los observadores de la privacidad sin duda estarán observando este de cerca para ver si Meta enfrenta algún ajuste de cuentas final sobre las transferencias de datos a largo plazo. O si se aferra a alguna otra forma de seguir enfrentando a reguladores y legisladores.