“Privacy Shield” anul·lat: Les dades personals europeas no podran transferir-se a servidors als EUA

Categoria: RGPD

El Tribunal de Justícia de la Unió Europea (TJUE) ha invalidat des del 16 de Juliol de 2020 la decisió 2016/1250 que permetia les transferències internacionals de dades basades en " Privacy Shield ", l'escut de privacitat UE.EE. UU.  

El Reglament de Protecció de Dades (RGPD / GDPR), aplica restriccions a les empreses que volen transferir informació personal fora d'Europa, incloent la recopilada en formularis de contacte o per a l'enviament de newsletters . Disposa que aquesta transferència només pot realitzar-se en els casos que el país de destinació garanteixi un nivell de protecció de dades d'acord amb els principis i obligacions de la RGPD.

La decisió d'anul·lar " Privacy Shield ", obliga a les empreses europees a revisar tots els proveïdors que el seu servei impliqui transferència internacional de dades, com ara Whatsapp , Trello, Mailchimp , Slack , Dropbox i molts més serveis i aplicacions les dades s'allotgen en servidors dels EUA. No afecta aquells que utilitzen servidors europeus o espanyols, com fem en Acrelia News.    

Què és " Privacy Shield "?

" Privacy Shield " és un acord signat entre EUA i Europa pel qual es garantia que les empreses americanes adherides (5.384) aplicaven els mateixos estàndards de protecció de dades que les empreses europees regides pel RGPD.   

Fins ara, quan les empreses europees contractaven un servei amb un proveïdor d'Estats Units utilitzaven " Privacy Shield " per garantir un nivell de seguretat en les dades dels seus clients equiparable a la RGPD. Així els usuaris, estaven protegits, per exemple, amb la cessió de dades a tercers sense el seu consentiment.

Una altra opció a l'hora de garantir la seguretat en transferències internacionals, eren les clàusules contractuals tipus (Standard Contract Clauses ) aprovades en el seu dia per la Comissió Europea (article 46 de la RGPD).

Aquest mecanisme segueix sent vàlid, però únicament quan el país ofereixi garanties d'un nivell de protecció de dades adequat i equivalent als establerts pel RGPD . En el cas de proveïdors dels EUA és difícil que puguin emparar-se en elles, per exemple, per assegurar els usos que es faran de les dades recopilades al realitzar una compra en línia.  

Per què? T'ho expliquem en el següent punt.

Per què el TJUE ha invalidat " Privacy Shield "?

L'activista i advocat Max Schrems , usuari de Facebook des de 2008, va interposar una demanda contra Facebook Irlanda, al·legant que no garantia un nivell de protecció de dades suficient.

Com passa amb la resta d'usuaris de Facebook a Europa , les dades personals de Schrems són transferides, total o parcialment, per Facebook Ireland a servidors pertanyents a Facebook Inc., situats en el territori dels Estats Units, on són objecte de tractament.

Segons el comunicat del Tribunal de Justícia , " les limitacions de la protecció de dades personals que es deriven de la normativa interna dels Estats Units relativa a l'accés i la utilització, per les autoritats nord-americanes, de les dades transferides des de la Unió a aquest país tercer, i que la Comissió va avaluar en la Decisió Escut de la privacitat, no estan regulades d'acord amb exigències substancialment equivalents a les requerides, en el Dret de la Unió, pel principi de proporcionalitat, en la mesura que els programes de vigilància basats a l'esmentada normativa no es limiten a l'estrictament necessari ". 

És a dir, les empreses americanes han de complir les exigències relatives a la seguretat nacional, l'interès públic i el compliment de la llei nord-americana, el que significa que es poden veure obligades a lliurar dades personals dels usuaris a les agències governamentals , d'intel·ligència i seguretat, el que vulnera la RGPD i la Carta de drets fonamentals de la UE. 

Per aquesta raó, el tribunal de justícia europeu ha decidit invalidar " Privacy Shield " i per tant totes les transferències de dades basades en ell.

Què passarà a partir d'ara?

" Privacy Shield " no és el primer acord entre EUA i Europa sobre privacitat, de fet, va substituir a " Safe Harbour "; que permetia a les empreses emmagatzemar dades d'usuaris europeus en Estats Units.

Al ser declarat invàlid, les més de 5.300 empreses americanes que estan adherides al programa , no podran transferir dades personals europeus a servidors de EE.UU . Caldrà veure com respon Estats Units i si adapten la seva legislació o bé arriben a un acord d'algun tipus amb la Comissió Europea.

Què he de fer si treballo amb proveïdors de EE.UU?

Les empreses europees tenen l'obligació de complir amb les exigències de l'RGPD , i treballar només amb els que acreditin que compleixen amb la normativa de protecció de dades, incloent proveïdors de hosting i de serveis de correu electrònic. 

Ara, és imperatiu revisar totes les transferències de dades amb els Estats Units i el mecanisme de garantia utilitzat. En cas de ser " Privacy Shield " convé buscar un altre que el substitueixi o, si no és possible, deixar de transferir dades personals.  

No fer-ho, podria implicar greus sancions, de manera que és molt recomanable comptar amb el assessorament adequat i treballar amb una empresa especialitzada en privacitat, dret digital i noves tecnologies perquè puguin solucionar tots els dubtes.  

En Acrelia News treballem amb servidors allotjats a Europa pel que complim amb el RGPD i la anul·lació del " Privacy Shield " no afecta els enviaments dels nostres clients . 

 

No et perdis res del nostre blog i uneix-te al nostre Telegram https://t.me/acrelianews

---

Articles relacionats