El TJUE anula la Decisión Escudo de la privacidad de datos acordada entre la Unión Europea y EEUU

El Tribunal de Justicia de la Unión Europea (TJUE) ha anulado el acuerdo de protección de datos personales entre la Unión Europea y Estados Unidos que se recoge en la Decisión 2016/1250 sobre la adecuación de la protección conferida por el Escudo de la privacidad UE – EEUU. Así lo señala en una sentencia del pasado 16 de julio en la que afirma que la información personal que se transfiere a un país tercero debe gozar de un nivel de protección sustancialmente equivalente al garantizado dentro de la Unión.

El TJUE afirma que dicha Decisión reconoce «la primacía de las exigencias relativas a la seguridad nacional, el interés público y el cumplimiento de la ley estadounidense, posibilitando de este modo injerencias en los derechos fundamentales de las personas cuyos datos personales se transfieren a ese país tercero».

La sentencia es una respuesta a una cuestión prejudicial ante el caso de un ciudadano austríaco que solicitó la suspensión o prohibición de las transferencias de sus datos personales desde la Unión a los Estados Unidos por parte de Facebook Ireland.

El Tribunal de Justicia ha respaldado el sistema general de privacidad de datos europeos con terceros países a través de la normativa Reglamento General de Protección de Datos (RGPD). Así precisa que el «tratamiento por parte de las autoridades de un país tercero no puede significar que la referida transferencia quede fuera del ámbito de aplicación del RGPD».

En este contexto, el Tribunal de Justicia precisa que la evaluación de ese nivel de protección debe tener en cuenta tanto las estipulaciones contractuales acordadas entre el exportador de datos establecido en la Unión y el destinatario de la transferencia establecido en el país tercero de que se trate, como, por lo que se refiere a un posible acceso de las autoridades públicas de ese país tercero a los datos personales transferidos de ese modo, los elementos pertinentes del sistema jurídico de dicho país.

Por lo que respecta a las obligaciones que incumben a las autoridades de control en el contexto de una transferencia de datos, el Tribunal de Justicia declara que, «a no ser que exista una decisión de adecuación válidamente adoptada por la Comisión, esas autoridades están obligadas, en particular, a suspender o a prohibir una transferencia de datos personales a un país tercero cuando consideren, a la luz de las circunstancias específicas de la referida transferencia, que las cláusulas tipo de protección de datos no se respetan o no pueden respetarse en ese país y que las protección de los datos transferidos, exigida por el Derecho de la Unión, no puede garantizarse mediante otros medios, si el propio exportador establecido en la Unión no ha suspendido esa transferencia o no le ha puesto fin».